云平台容器服务运行时安全巡检报告.docVIP

云平台容器服务运行时安全巡检报告

一、容器镜像安全现状与风险分析

（一）镜像漏洞分布情况

本次巡检覆盖云平台内12个业务集群的376个容器镜像，经专业漏洞扫描工具检测，共发现高危漏洞124个、中危漏洞287个、低危漏洞412个。从漏洞类型来看，代码执行漏洞占比最高，达到32%，主要集中在老旧版本的Nginx、Apache等Web服务镜像中，攻击者可通过构造特殊请求触发远程代码执行，直接获取容器控制权；其次是权限提升漏洞，占比21%，多存在于基础镜像的sudo、su等特权命令组件中，容器内低权限进程可利用此类漏洞获取root权限，进而突破容器隔离限制。

从镜像来源分析，官方公共仓库拉取的镜像漏洞率为27%，而第三方仓库及本地自制镜像的漏洞率分别高达58%和42%。例如，某业务线使用的第三方Redis镜像存在CVE-2024-12345远程代码执行漏洞，该镜像已在生产环境运行超过8个月，期间未进行任何安全更新；另有3个本地自制的Java应用镜像，因未及时更新OpenJDK版本，存在多个反序列化漏洞，可被攻击者用于构造恶意Payload触发系统崩溃或数据泄露。

（二）镜像签名与合规性检查

巡检发现，仅18%的容器镜像配置了数字签名，其余82%的镜像均处于“裸奔”状态，存在被篡改注入恶意代码的风险。在未签名镜像中，有3个镜像被检测出包含挖矿程序，这些镜像主要用于测试环境，但因权限配置不当，