Abo
  • Services:
Anzeige
Viele Abbilder von Docker-Containern enthalten Sicherheitslücken.
Viele Abbilder von Docker-Containern enthalten Sicherheitslücken. (Bild: Martina Nolte/Wikimedia/CC-BY-SA 3.0 DE)

Studie: Docker-Images oft mit Sicherheitslücken

Viele Abbilder von Docker-Containern enthalten Sicherheitslücken.
Viele Abbilder von Docker-Containern enthalten Sicherheitslücken. (Bild: Martina Nolte/Wikimedia/CC-BY-SA 3.0 DE)

Die offiziellen Abbilder im sogenannten Docker-Hub enthielten in über 30 Prozent aller Fälle schwere Sicherheitslücken, heißt es in einer Studie. Darunter seien auch sehr schwerwiegende, die lange bekannt seien.

Anzeige

Über den Docker-Hub können Nutzer des Werkzeugs Abbilder der zu Containern gepackten Anwendungen erhalten und teilen. Doch in mehr als einem Drittel der so verfügbaren Software seien gravierende Sicherheitslücken enthalten, heißt es in einer Studie von Banyan, das auf die Analyse von Containern spezialisiert ist. Dies gelte für die jeweils offiziell gepflegten Abbilder bestimmter Organisationen, zu denen auch die großen Linux-Distributoren gehören. Für aktuelle Versionen der Abbilder sinke der Wert nur leicht auf 23 Prozent.

Bei älteren Versionen, die immer noch verfügbar sind, sowie bei Containern, welche durch die Community betreut werden, sei die Rate an kritischen Fehlern sogar noch etwas höher und liege hier bei etwa 40 Prozent. Zur Analyse nutzte das Unternehmen selbst erstellte Werkzeuge und verglich die Versionen der vorgefundenen Pakete mit Datenbanken über Sicherheitslücken. Die veröffentlichte Studie beziehe sich auf einen Schnappschuss des Docker-Hubs vom 20. Mai, für andere Tage gebe es aber ähnliche Ergebnisse.

Teils schwerwiegende Lücken

Die genannten Zahlen beziehen sich auf die Einordnung der jeweiligen Fehler in den höchsten Schweregrad. Dazu zählen etwa Heartbleed oder Poodle aus OpenSSL, die in jedem zehnten Docker-Image zu finden seien. Eine erst vor kurzem aufgefundene Lücke in Mercurial sei gar in einem Fünftel der untersuchten Abbilder vorhanden.

Da die normalen Update-Zyklen bei Distributoren, unabhängig von Docker, mitunter einige wenige Wochen betragen können, ist das Auffinden der Mercurial-Lücke wenig überraschend. Bei den OpenSSL-Fehlern gilt das aber nicht. So ist Heartbleed seit über einem Jahr bekannt.

Die Autoren schließen aus ihren Ergebnissen, dass die eingesetzten Abbilder bei Docker durch die Anwender analysiert werden sollten.


eye home zur Startseite
SelfEsteem 28. Mai 2015

Verteilt Ihr dabei die vorgefertigten Images direkt auf die einzelnen Maschinen? Ich...



Anzeige

Stellenmarkt
  1. Knauf Information Services GmbH, Iphofen (Raum Würzburg)
  2. flexis AG, Stuttgart
  3. über JobLeads GmbH, München
  4. Wolfgang Westarp GmbH, Beckum


Anzeige
Top-Angebote
  1. 28,99€
  2. 189,00€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Blackberry Key One

    Android-Smartphone mit Hardware-Tastatur kostet viel

  2. Arrow Launcher 3.0

    Microsofts Android-Launcher braucht weniger Energie und RAM

  3. Die Woche im Video

    Angeswitcht, angegriffen, abgeturnt

  4. Hardlight VR Suit

    Vibrations-Weste soll VR-Erlebnis realistischer machen

  5. Autonomes Fahren

    Der Truck lernt beim Fahren

  6. Selektorenaffäre

    BND soll ausländische Journalisten ausspioniert haben

  7. Kursanstieg

    Bitcoin auf neuem Rekordhoch

  8. Google-Steuer

    Widerstand gegen Leistungsschutzrecht auf EU-Ebene

  9. Linux-Kernel

    Torvalds droht mit Nicht-Aufnahme von Treibercode

  10. Airbus A320

    In Flugzeugen wird der Platz selbst für kleine Laptops knapp



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Intel C2000: Weiter Unklarheit zur Häufung von NAS-Ausfällen
Intel C2000
Weiter Unklarheit zur Häufung von NAS-Ausfällen
  1. Super Bowl Lady Gaga singt unter einer Flagge aus Drohnen
  2. Lake Crest Intels Terminator-Chip mit Terabyte-Bandbreite
  3. Compute Card Intel plant Rechnermodul mit USB Type C

XPS 13 (9360) im Test: Wieder ein tolles Ultrabook von Dell
XPS 13 (9360) im Test
Wieder ein tolles Ultrabook von Dell
  1. Die Woche im Video Die Selbstzerstörungssequenz ist aktiviert
  2. XPS 13 Convertible im Hands on Dells 2-in-1 ist kompakter und kaum langsamer

Mechanische Tastatur Poker 3 im Test: "Kauf dir endlich Dämpfungsringe!"
Mechanische Tastatur Poker 3 im Test
"Kauf dir endlich Dämpfungsringe!"
  1. Patentantrag Apple denkt über Tastatur mit Siri-, Emoji- und Teilen-Taste nach
  2. MX Board Silent im Praxistest Der viel zu teure Feldversuch von Cherry
  3. Kanex Faltbare Bluetooth-Tastatur für mehrere Geräte gleichzeitig

  1. Re: Anscheinend gibt es keine gesetzlichen Vorgaben.

    pampernickel | 21:43

  2. Genau das ist das Problem

    Berner Rösti | 21:41

  3. Re: Halb-OT: Bloß kein handliches Gerät...

    DetlevCM | 21:39

  4. Re: Gekauft!

    ubuntu_user | 21:39

  5. Re: Display größer als bei Fulltouch 5"+

    ubuntu_user | 21:38


  1. 20:21

  2. 11:57

  3. 09:02

  4. 18:02

  5. 17:43

  6. 16:49

  7. 16:21

  8. 16:02


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel