UBI-Images nutzen, um Container-Schwachstellen zu minimieren

Bei Snyk arbeiten wir kontinuierlich daran, Lösungen für Container- und Cloud-Native-Sicherheit zu verbessern. Snyk Container unterstützt Entwickler dabei, die Sicherheit ihrer Container-Images vollständig selbst zu verantworten.

Eine häufige Ursache für Schwachstellen in Containern ist das Basis-Image, das als Grundlage für Ihre eigenen benutzerdefinierten Images dient. Statt lediglich auf neue Schwachstellen zu reagieren, empfiehlt es sich, proaktiv vorzugehen und mit einer sorgfältig zusammengestellten und regelmäßig aktualisierten Auswahl an Basis-Images zu beginnen.

In diesem Beitrag befassen wir uns mit Red Hat Universal Base Images, die dabei helfen, das oben beschriebene Ziel zu erreichen.

Was ist ein Universal Base Image (UBI)?

Auf dem Red Hat Summit 2019 angekündigt, basieren Red Hat Universal Base Images auf einer Plattform für Unternehmen: Red Hat Enterprise Linux (RHEL). Bei den Images handelt es sich um OCI-konforme Container-Betriebssystem-Basis-Images mit verschiedenen Laufzeitumgebungen für Programmiersprachen und frei weiterverteilbaren Paketen. Diese Images für UBI 8 werden beispielsweise bei jeder Aktualisierung der RHEL-8-Basis-Images und bei der Behebung kritischer CVEs aktualisiert.

Aus technischer Sicht sind sie nahezu identisch mit Red Hat Enterprise Linux-Images und bieten daher hohe Sicherheit und Leistung sowie lange Lebenszyklen. Sie werden unter einer anderen Endbenutzer-Lizenzvereinbarung veröffentlicht. So können Sie mit UBI eine containerisierte Anwendung erstellen, in eine beliebige Registry übertragen und einfach mit anderen teilen. Da sie frei weiterverteilbar ist, können Sie die Anwendung sogar auf Nicht-Red-Hat-Plattformen bereitstellen.

Ausführliche Informationen finden Sie in der Red Hat-Dokumentation zum Erstellen, Ausführen und Verwalten von Containern. Zertifizierte Container-Images sind außerdem im Container-Katalog von Red Hat aufgeführt. Die UBI-Images decken zahlreiche beliebte Programmiersprachen ab, darunter dotnet, golang, nodejs, Python, PHP und Ruby.

Weitere Informationen zu UBI-Images finden Sie in den FAQ von Red Hat. Wie wir im Folgenden zeigen, lassen sich UBI-Images jedoch recht einfach in Ihren Workflow integrieren.

Container-Images mit UBI erstellen

Sehen wir uns zunächst ein Dockerfile-Beispiel für Python an. Mit einem ähnlichen Ansatz lassen sich UBI-Images auch für verschiedene Laufzeitumgebungen anderer Programmiersprachen verwenden.

Hier sehen Sie ein automatisch generiertes Dockerfile für ein einfaches Python-Beispiel mit „Hello World!“, das Flask verwendet.

FROM python
ENV PORT 8080
EXPOSE 8080
WORKDIR /usr/src/app

COPY requirements.txt . 
RUN pip install --no-cache-dir -r requirements.txt

COPY . .

ENTRYPOINT ["python"] 
CMD ["app.py"]

Statt python als Basis-Image zu verwenden, nutzen wir das UBI-Image aus der Red Hat-Registry und passen das Dockerfile wie unten gezeigt an. (Möglicherweise benötigen Sie die entsprechenden Zugangsdaten, um sich zu authentifizieren und die Images zu verwenden.) Beachten Sie, dass sich nur die erste Zeile ändert, in der wir das UBI-Image verwenden.

FROM registry.redhat.io/ubi8/python-36
ENV PORT 8080
EXPOSE 8080
WORKDIR /usr/src/app

COPY requirements.txt ./
RUN pip install --no-cache-dir -r requirements.txt

COPY . .

ENTRYPOINT ["python"] 
CMD ["app.py"]

Eine containerisierte Anwendung mit einem UBI-Image als Basis zu erstellen, funktioniert genauso wie mit einem Image ohne UBI, wie unten gezeigt:

docker build -t ragsns/example-python-ubi .

Wenn Sie Snyk für die containerisierte Anwendung mit einem UBI-Image als Basis ausführen, wird eine Liste von Schwachstellen wie unten gezeigt erstellt.

snyk test --container ragsns/example-python-ubi --file=Dockerfile          

Testing ragsns/example-python-ubi...

✗ Low severity vulnerability found in npm
  Description: RHEA-2020:0330
  Info: https://snyk.io/vuln/SNYK-RHEL8-NPM-555355
  Introduced through: npm@1:6.9.0-1.10.16.3.2.module+el8.0.0+4214+49953fda
  From: npm@1:6.9.0-1.10.16.3.2.module+el8.0.0+4214+49953fda
  Introduced by your base image (registry.redhat.io/ubi8/python-36)
  Fixed in: 1:6.13.4-1.12.14.1.1.module+el8.1.0+5466+30f75629

✗ Low severity vulnerability found in nodejs
  Description: RHEA-2020:0330
  Info: https://snyk.io/vuln/SNYK-RHEL8-NODEJS-555347
  Introduced through: nodejs@1:10.16.3-2.module+el8.0.0+4214+49953fda
  From: nodejs@1:10.16.3-2.module+el8.0.0+4214+49953fda
  Introduced by your base image (registry.redhat.io/ubi8/python-36)
  Fixed in: 1:12.14.1-1.module+el8.1.0+5466+30f75629

✗ High severity vulnerability found in systemd-pam
  Description: RHSA-2020:0575
  Info: https://snyk.io/vuln/SNYK-RHEL8-SYSTEMDPAM-552042
  Introduced through: systemd-pam@239-18.el8_1.2
  From: systemd-pam@239-18.el8_1.2
  Introduced by your base image (registry.redhat.io/ubi8/python-36)
  Fixed in: 0:239-18.el8_1.4

✗ High severity vulnerability found in systemd-libs
  Description: RHSA-2020:0575
  Info: https://snyk.io/vuln/SNYK-RHEL8-SYSTEMDLIBS-552044
  Introduced through: systemd-libs@239-18.el8_1.2
  From: systemd-libs@239-18.el8_1.2
  Introduced by your base image (registry.redhat.io/ubi8/python-36)
  Fixed in: 0:239-18.el8_1.4

✗ High severity vulnerability found in systemd
  Description: RHSA-2020:0575
  Info: https://snyk.io/vuln/SNYK-RHEL8-SYSTEMD-552048
  Introduced through: systemd@239-18.el8_1.2
  From: systemd@239-18.el8_1.2
  Introduced by your base image (registry.redhat.io/ubi8/python-36)
  Fixed in: 0:239-18.el8_1.4

✗ High severity vulnerability found in npm
  Description: RHSA-2020:0579
  Info: https://snyk.io/vuln/SNYK-RHEL8-NPM-555375
  Introduced through: npm@1:6.9.0-1.10.16.3.2.module+el8.0.0+4214+49953fda
  From: npm@1:6.9.0-1.10.16.3.2.module+el8.0.0+4214+49953fda
  Introduced by your base image (registry.redhat.io/ubi8/python-36)
  Fixed in: 1:6.13.4-1.10.19.0.1.module+el8.1.0+5726+6ed65f8c

✗ High severity vulnerability found in npm
  Description: RHSA-2020:0598
  Info: https://snyk.io/vuln/SNYK-RHEL8-NPM-557042
  Introduced through: npm@1:6.9.0-1.10.16.3.2.module+el8.0.0+4214+49953fda
  From: npm@1:6.9.0-1.10.16.3.2.module+el8.0.0+4214+49953fda
  Introduced by your base image (registry.redhat.io/ubi8/python-36)
  Fixed in: 1:6.13.4-1.12.16.1.1.module+el8.1.0+5811+44509afe

✗ High severity vulnerability found in nodejs
  Description: RHSA-2020:0579
  Info: https://snyk.io/vuln/SNYK-RHEL8-NODEJS-555367
  Introduced through: nodejs@1:10.16.3-2.module+el8.0.0+4214+49953fda
  From: nodejs@1:10.16.3-2.module+el8.0.0+4214+49953fda
  Introduced by your base image (registry.redhat.io/ubi8/python-36)
  Fixed in: 1:10.19.0-1.module+el8.1.0+5726+6ed65f8c

✗ High severity vulnerability found in nodejs
  Description: RHSA-2020:0598
  Info: https://snyk.io/vuln/SNYK-RHEL8-NODEJS-557034
  Introduced through: nodejs@1:10.16.3-2.module+el8.0.0+4214+49953fda
  From: nodejs@1:10.16.3-2.module+el8.0.0+4214+49953fda
  Introduced by your base image (registry.redhat.io/ubi8/python-36)
  Fixed in: 1:12.16.1-1.module+el8.1.0+5811+44509afe

Organization:      rags
Package manager:   rpm
Target file:       Dockerfile
Project name:      docker-image|ragsns/example-python-ubi
Docker image:      ragsns/example-python-ubi
Base image:        registry.redhat.io/ubi8/python-36
Licenses:          enabled

Tested 417 dependencies for known issues, found 9 issues.

Das Ausführen des UBI-basierten Container-Images funktioniert genauso wie das Ausführen der Anwendung auf Grundlage eines Images ohne UBI, wie unten gezeigt.

docker run -it -p8080:8080 ragsns/example-python-ubi

Dies ist dank des in der Dokumentation beschriebenen Prinzips möglich: „Mit den neuen Red Hat Universal Base Images können Sie Ihren Container EINMAL erstellen und frei auf mehreren Bereitstellungsplattformen weiterverteilen.“

Wenn Sie zum Testen oder Ausführen der Anwendung lieber das Container-Toolset von Red Hat verwenden, können Sie den folgenden Befehl nutzen:

podman run -p 8080:8080 ragsns/example-python-ubi

Nachdem wir uns ein Beispiel für Python angesehen haben, wollen wir nicht jede Laufzeitumgebung einzeln durchgehen (zumal für die jeweilige Laufzeitumgebung möglicherweise noch kleinere Änderungen erforderlich sind), sondern uns alle gemeinsam ansehen.

UBI-Images für mehrere Programmiersprachen

Wie bereits erwähnt, gibt es UBI-Images für verschiedene Laufzeitumgebungen von Programmiersprachen. Eine Snyk-Analyse der verschiedenen UBI-Images liefert die in der folgenden Tabelle zusammengefassten Ergebnisse.

Die UBI-Images für verschiedene Programmiersprachen weisen so wenige Schwachstellen auf, weil Red Hat sie sorgfältig zusammenstellt und aktualisiert. Dazu gehören das Basis-Betriebssystem, die yum-Repositories für die Installation von Paketen und Tools sowie die Programmiersprachen und Frameworks. In diesem Artikel von Red Hat erfahren Sie mehr dazu. Er beschreibt insbesondere, wie Red Hat eine Fehlerliste für die UBI-Images pflegt und sie regelmäßig nach einem ähnlichen Verfahren wie das Basis-Betriebssystem aktualisiert und wartet.

Zusammenfassung und nächste Schritte

Wir haben gezeigt, wie einfach sich containerisierte Anwendungen für verschiedene Laufzeitumgebungen auf UBI-Images aufbauen lassen. Die erforderlichen Änderungen, einschließlich des Abrufs des Red Hat UBI-Images, lassen sich problemlos in Ihre CI/CD- oder Entwicklungs-Pipeline integrieren, ohne dass Sie Ihre gewohnten Arbeitsabläufe ändern müssen.

Aus Sicherheitssicht sind UBI-Images eine gute Option für die Containerisierung Ihrer Anwendungen. Wie wir gesehen haben, werden UBI-Images einem strengen Wartungsprozess unterzogen, der dem etablierten Verfahren für das RHEL-Betriebssystem entspricht. Da UBI-Images für verschiedene Laufzeitumgebungen verfügbar sind, können sie als Basis für Ihre Container-Images dazu beitragen, Schwachstellen in Ihrer Anwendung zu minimieren.

Snyk unterstützt die Sicherheit Ihrer Anwendungsentwicklung während des gesamten Softwareentwicklungszyklus. Dazu gehören Integrationen mit Ihrer Image-Registry, Ihrem Dockerfile-Repository, Ihren CI/CD-Pipelines und Ihren Kubernetes-Clustern, einschließlich OpenShift-4-Umgebungen. Snyk Container unterstützt UBI- und RHEL-Images sowie weitere beliebte Linux-Distributionen.