一名未經授權的黑客人員攻擊了Docker Hub數據庫，該數據庫暴露了大約190,000名用戶的敏感信息。這些敏感信息包括用戶名、登陸密碼，以及GitHub、Bitbucket的訪問令牌。
存儲在Docker Hub中的GitHub和Bitbucket訪問令牌允許開發人員修改項目代碼，並自動構建Docker Hub上的映像。但是，如果第三方獲得對這些令牌的訪問權限，則允許他們訪問私有代碼倉庫，並可能根據存儲在令牌中的權限對私有代碼倉庫進行修改。
由於Docker Hub鏡像通常用於服務器配置和應用程序中，如果這些令牌被誤用於修改代碼、調整已構建的圖像，則可能導致嚴重的供應鏈攻擊。
雖然Docker聲明他們已經撤銷了所有已經暴露的令牌和訪問密鑰，但對於那些沒有經過授權就進入查看項目倉庫的開發者來說，影響仍然很大。更糟糕的是，由於這些通知在週五晚上推遲，開發人員可能需要花費一個漫長的夜晚來評估他們的代碼。
此通知的全文已經發布到Ycombinator的黑客新聞上，讀者可以查看公告全文。
2019年4月25日，我們發現了對存儲非財務用戶數據子集的單個Hub數據庫的未授權訪問。發現後，我們迅速採取行動干預並保護網站。
我們希望告知您我們已經調查到的內容：包括哪些Hub帳戶受到影響，以及用戶可以採取的應對措施。
以下是我們瞭解到的情況：
黑客攻擊Docker Hub數據庫的期間內，大約190,000個帳戶的敏感數據可能已經暴露（少於5％的Hub用戶）。洩露數據包括用戶名和密碼，以及自動構建的Github和Bitbucket令牌。
我們採取的行動：
- 我們要求用戶更改在Docker Hub的密碼以及其他使用此密碼的賬戶。
- 對於具有可能受自動構建令牌影響的用戶，我們已撤銷GitHub令牌和訪問密鑰，並要求您重新連接到您的存儲庫並檢查安全日誌以查看是否發生了任何意外操作。
您可以在GitHub或BitBucket帳戶上查看安全操作，以查看過去24小時內是否發生任何意外訪問：
-請訪問https：//help.github.com/en/articles/reviewing-your-security-log和https：//bitbucket.org/blog/new-audit-logs-give-you-the-who-what-when-and-where
可能會影響您正在使用我們的自動構建服務的代碼。您需要取消鏈接，然後重新鏈接您的Github和Bitbucket，如：
https：//docs.docker.com/docker-hub/builds/link-source/
我們正在加強整體安全流程並檢查我們的安全策略。增加了額外的監測工具。
我們的調查仍在進行中，我們將持續公佈更多信息。
謝謝
On Thursday, April 25th, 2019, we discovered unauthorized access to a single Hub database storing a subset of non-financial user data. Upon discovery, we acted quickly to intervene and secure the site.
We want to update you on what we've learned from our ongoing investigation, including which Hub accounts are impacted, and what actions users should take.
Here is what we’ve learned:
During a brief period of unauthorized access to a Docker Hub database, sensitive data from approximately 190,000 accounts may have been exposed (less than 5% of Hub users). Data includes usernames and hashed passwords for a small percentage of these users, as well as Github and Bitbucket tokens for Docker autobuilds.
Actions to Take:
- We are asking users to change their password on Docker Hub and any other accounts that shared this password.
- For users with autobuilds that may have been impacted, we have revoked GitHub tokens and access keys, and ask that you reconnect to your repositories and check security logs to see if any unexpected actions have taken place.
- You may view security actions on your GitHub or BitBucket accounts to see if any unexpected access has occurred over the past 24 hours -see https://help.github.com/en/articles/reviewing-your-security-log and https://bitbucket.org/blog/new-audit-logs-give-you-the-who-what-when-and-where
- This may affect your ongoing builds from our Automated build service. You may need to unlink and then relink your Github and Bitbucket source provider as described in https://docs.docker.com/docker-hub/builds/link-source/
We are enhancing our overall security processes and reviewing our policies. Additional monitoring tools are now in place.
Our investigation is still ongoing, and we will share more information as it becomes available.
Thank you,
Kent Lamb Director of Docker Support [email protected]
閱讀更多 雲技術 的文章
