Docker images: attenzione alle vulnerabilità note

Snyk, azienda che si occupa di cybersecurity, ha pubblicato una nuovo report sulla sicurezza dei vari progetti open source. La ricerca si divide in diverse sezioni organizzate per aree tematica, oggi vogliamo focalizzarci su quella inerente al mondo dei container e alle immagini Docker.

Dai dati rilevanti è infatti emerso che nelle 10 immagini più utilizzate dalla community di sviluppatori sono presenti diverse vulnerabilità note da tempo agli esperti di sicurezza.

L'adozione della tecnologia dei container sta crescendo ad un livello esponenziale. Secondi i dati forniti da 451 Research, entro il 2020 circa il 40% dell'intero settore dello sviluppo software implementerà soluzioni basate sui container.

Malgrado siano estremamente utili, le immagini Docker portano con sé anche diverse vulnerabilità. Snyk ha infatti eseguito diverse scansioni di sicurezza rilevando bug in tutte le librerie usate dalle immagini analizzate.

Ad esempio l'immagine di NodeJS viene distribuita con ben 580 vulnerabilità note. I bug di sicurezza sono infatti presenti in numerose librerie su cui si basa il container.

Si tratta ovviamente di una situazione allarmante anche perché le immagini Docker degli altri progetti non presenterebbero una situazione migliore. La versione docker di PostegreSQL viene distribuita con 89 vulnerabilità note, nginx con 85 e httpd con 69. Relativamente più "sicura" è quella di Ubuntu con "appena" 30 bug di sicurezza rilevanti dal team di Snyk.

Di recente Snyk ha reso pubblico un tool per analizzare la propria immagine Docker e aiutare gli sviluppatori a migliorarne il livello di sicurezza. Correggere i bug presenti non è infatti un'operazione complessa, Snyk stima che nel 20% dei casi è sufficiente un semplice rebuilding della Docker image, nel 44% è invece necessario cambiare l'immagine di base.

Spesso infatti gli sviluppatori scelgono di affidarsi ad immagini base di distribuzioni Linux abbastanza datate.

Ad esempio la Docker image di NodeJS si basa su Debian Jessie, una versione della distribuzione universale ormai obsoleta. Scegliendo di affidarsi ad un'immagine base diversa i bug di sicurezza rilevanti calerebbero drasticamente, arrivando anche a zero quando si sceglie un'immagine base come Alpine Linux.

Via Snyk