Docker Hub 遭入侵,19 万帐号被泄露
美国当地时间周五晚上,有开发者表示收到来自 Docker 的官方邮件,邮件内容显示由于 Docker Hub 遭受非法入侵,已导致 19 万个帐号的敏感数据被泄露,这些数据包括小部分用户的用户名和哈希密码,以及用于自动构建 Docker 镜像而授权给 Docker Hub 的 GitHub 和 Bitbucket token。
Docker Hub 是 Docker 容器镜像的官方存储库,提供给 Docker 开发者用于上传/下载容器镜像。
Docker 方面表示,发现漏洞后已立即采取干预措施来保护数据,并尽力降低对用户造成的影响。
按照 Docker 的官方说法,在黑客入侵 Docker Hub 后的短时间内就发现了问题,不过仍有 19 万个帐号的数据已遭泄露,大约是总用户数的 5%。
Docker 发现问题后立即向用户告知了这一消息,并通知用户重置密码(包括使用其他使用相同用户名和密码的平台)。
此外,对于使用了自动构建服务并可能受影响的用户,Docker 已撤销他们的 GitHub token 和访问密钥,并提醒他们重新连接到存储库,然后检查安全和登录日志以查看是否发生了任何异常操作,例如是否存在通过未知的 IP 地址进行任何未经授权的访问。
虽然受影响的用户只有 5%,看起来问题不是十分严重,但事实并非如此。要知道绝大多数 Docker Hub 用户都是大公司的内部员工,他们的帐号可能正在使用自动构建容器服务,然后在实际生产环境中部署这些容器。
如果他们没有及时重置帐号密码,那么其帐号的自动构建服务会存在极大的安全风险 —— 被攻击者植入恶意软件。
Docker 表示目前仍在调查此事件,调查清楚后会分享详细信息。不过这起安全事件尚未在公司网站上披露,仅通过电子邮件通知用户。邮件内容如下:
On Thursday, April 25th, 2019, we discovered unauthorized access to a single Hub database storing a subset of non-financial user data. Upon discovery, we acted quickly to intervene and secure the site.
We want to update you on what we've learned from our ongoing investigation, including which Hub accounts are impacted, and what actions users should take.
Here is what we’ve learned:
During a brief period of unauthorized access to a Docker Hub database, sensitive data from approximately 190,000 accounts may have been exposed (less than 5% of Hub users). Data includes usernames and hashed passwords for a small percentage of these users, as well as Github and Bitbucket tokens for Docker autobuilds.
Actions to Take:
- We are asking users to change their password on Docker Hub and any other accounts that shared this password.
- For users with autobuilds that may have been impacted, we have revoked GitHub tokens and access keys, and ask that you reconnect to your repositories and check security logs to see if any unexpected actions have taken place.
- You may view security actions on your GitHub or BitBucket accounts to see if any unexpected access has occurred over the past 24 hours -see https://help.github.com/en/articles/reviewing-your-security-log and https://bitbucket.org/blog/new-audit-logs-give-you-the-who-what-when-and-where
- This may affect your ongoing builds from our Automated build service. You may need to unlink and then relink your Github and Bitbucket source provider as described in https://docs.docker.com/docker-hub/builds/link-source/
We are enhancing our overall security processes and reviewing our policies. Additional monitoring tools are now in place.
Our investigation is still ongoing, and we will share more information as it becomes available.
Thank you,
Kent Lamb Director of Docker Support info@docker.com
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。
- 上一篇
百度浏览器(PC)宣布不再更新,部分功能将停止服务
4月26日上午消息,百度浏览器在其官方网站发布公告称,由于部门业务调整,官方将于2019年04月30日对产品部分功能停止服务。 按照公告的说法,相关的产品包括桌面百度、百度工具栏、百度地址栏、百度极速浏览器,hao123浏览器,产品将不再更新,基本功能本地仍可使用。 以下为公告内容: 【公告】百度浏览器(PC)部分功能停止服务 尊敬的用户: 您好,由于部门业务调整,官方将于2019年04月30日对产品部分功能停止服务。相关的产品包括桌面百度、百度工具栏、百度地址栏、百度极速浏览器,hao123浏览器,产品将不再更新,基本功能本地仍可使用。相关事宜公告如下: 1、用户登录功能,已登录用户登录状态失效,但仍可本地保留用户基本信息(收藏夹、历史纪录、设置等),未登录用户将不提供服务; 2、积分商城将无法访问,不提供用户积分查询服务; 3、用户的设置信息、历史纪录、收藏夹云同步失效; 4、产品相关推荐内容消失,相关页面将不能访问,如:新建标签(newtab.baidu.com)、主页(0.baidu.com); 5、一切插件相关功能均不可用,已经安装插件的可能部分能够继续使用; 6、皮肤相关将...
- 下一篇
高通近40款芯片被曝出泄密漏洞!波及数十亿部手机
据EETOP论坛27日报道,英国安全业者NCC Group公布了藏匿在逾40款高通芯片的旁路漏洞,可用来窃取芯片内所储存的机密资讯,并波及采用相关芯片的Android装置,高通已于本月初修补了这一在去年就得知的漏洞。 此一编号为CVE-2018-11976的漏洞,涉及高通芯片安全执行环境(Qualcomm Secure Execution Environment,QSEE)的椭圆曲线数码签章算法(Elliptic Curve Digital Signature Algorithm,ECDSA),将允许黑客推测出存放在QSEE中、以ECDSA加密的224位与256位的金钥。 QSEE源自于ARM的TrustZone设计,TrustZone为系统单晶片的安全核心,它建立了一个隔离的安全世界来供可靠软件与机密资料使用,而其它软件则只能在一般的世界中执行,QSEE即是高通根据TrustZone所打造的安全执行环境。 NCC Group资深安全顾问Keegan Ryan指出,诸如TrustZone或QSEE等安全执行环境设计,受到许多行动装置与嵌入式装置的广泛采用,只是就算安全世界与一般世界使用...
相关文章
文章评论
共有0条评论来说两句吧...
文章二维码
点击排行
推荐阅读
最新文章
- CentOS8安装MyCat,轻松搞定数据库的读写分离、垂直分库、水平分库
- Eclipse初始化配置,告别卡顿、闪退、编译时间过长
- Docker使用Oracle官方镜像安装(12C,18C,19C)
- CentOS7设置SWAP分区,小内存服务器的救世主
- SpringBoot2更换Tomcat为Jetty,小型站点的福音
- SpringBoot2整合Thymeleaf,官方推荐html解决方案
- CentOS7编译安装Cmake3.16.3,解决mysql等软件编译问题
- MySQL8.0.19开启GTID主从同步CentOS8
- SpringBoot2整合Redis,开启缓存,提高访问速度
- Linux系统CentOS6、CentOS7手动修改IP地址