Miles de secretos han quedado expuestos en Docker Hub, una plataforma en la que los desarrolladores web colaboran en su código para aplicaciones web. Mientras que algunas son inofensivas claves API, otras podrían dar lugar a accesos no autorizados, violaciones de datos o robos de identidad, según revela la última investigación.
El almacén Docker Hub tiene al menos 5.493 imágenes de contenedores que contienen secretos y podría considerarse que exponen información sensible. Esto supone el 54% de las 10.178 imágenes de Docker Hub analizadas por el equipo de investigación de Cybernews.
Los contenedores con fugas analizados fueron descargados más de 132.000 millones de veces por otros usuarios en la plataforma ampliamente utilizada.
"Eso significa que los secretos expuestos podrían estar ejecutándose en múltiples servidores de todo el mundo, lo que plantea riesgos y agota los recursos en la nube de los discretos contribuyentes de Docker Hub. Dejar cualquier secreto expuesto mientras subes tus imágenes online supone un alto riesgo de que los actores de amenazas lo encuentren", advierte Vincentas Baubonis, investigador de Cybernews.
A los desarrolladores web les encanta utilizar Docker Hub para desarrollar, enviar y ejecutar aplicaciones conocidas como contenedores. Los contenedores son piezas de software que mantienen los sitios web y los servicios en funcionamiento de forma fiable, formando una estructura más grande como los juegos de Lego.
Un contenedor podría ser responsable de alojar un sitio web que visitas, otro contenedor podría gestionar la base de datos y otros podrían ejecutar el backend para otras aplicaciones. Realizan funciones aisladas por procesos, y si una parte del sistema falla, Docker ayuda a los administradores a arreglar la parte aislada mientras las demás siguen funcionando. Pero es fácil perder la pista de muchos contenedores y flujos de datos, lo que a veces lleva a cometer errores y a exponer secretos.
Docker Hub es un repositorio basado en la nube para imágenes de contenedores, que ofrece soluciones públicas y privadas de almacenamiento y colaboración. Docker Hub es un servicio subsidiario de Docker, uno de los principales actores del sector de los contenedores digitales. Con sede en San Francisco, la empresa contribuye significativamente a este cambio transformador en el desarrollo y despliegue de software.
¿Qué filtraban las aplicaciones web?
Los investigadores extrajeron la asombrosa cifra de 191.529 secretos raspando y analizando 5.493 imágenes de contenedores compartidas públicamente. Si se eliminan los duplicados, el número de secretos únicos se reduce a 48.481.
Los secretos expuestos incluían claves API o SSH, tokens de control de acceso, URL de uso interno e incluso credenciales privadas.
¿Qué filtraban las aplicaciones web?
Los investigadores extrajeron la asombrosa cifra de 191.529 secretos raspando y analizando 5.493 imágenes de contenedores compartidas públicamente. Si se eliminan los duplicados, el número de secretos únicos se reduce a 48.481.
Los secretos expuestos incluían claves API o SSH, tokens de control de acceso, URL de uso interno e incluso credenciales privadas.
El segundo secreto más desatendido (13,9%) son los tokens de Datadog, utilizados principalmente para autenticarse y acceder a la plataforma de monitorización y análisis de Datadog. Los hackers podrían utilizarlos para ver información analítica, manipular los datos, hacer un uso indebido de los recursos o interrumpir el servicio.
El siguiente secreto más expuesto (7,6%) fueron los identificadores uniformes de recursos, que incluyen ubicaciones de recursos, como direcciones web o rutas de archivos. Las rutas de archivos privadas expuestas podrían dar lugar a accesos no autorizados, manipulación de datos y abuso de API, y también podrían utilizarse para ataques de fuerza bruta u otros tipos de ataques y espionaje.
Los investigadores también encontraron 10.000 claves privadas utilizadas para el cifrado o descifrado y un número similar de secretos LDAP (Lightweight Directory Access Protocol utilizado para gestionar y acceder a directorios).
Sin embargo, los secretos en menor número eran los más peligrosos.
Fuente: somoslibres
