使用 镜像 ecf6dd577389 导致 Linux cpu 率 50 %

[luojiyin1987]

例行检查

• 我已确认目前没有类似 issue
• 我已确认我已升级到最新版本
• 我已完整查看过项目 README，尤其是常见问题部分
• 我理解并愿意跟进此 issue，协助测试和提供反馈
• 我理解并认可上述内容，并理解项目维护者精力有限，不遵循规则的 issue 可能会被无视或直接关闭

问题描述
我设置了 docker 镜像自动更新， 运行 one-api 的 docker 镜像，导致 cpu 占用率 50%。 pve 上的虚拟机，cpu i7-8550u， 分配内存8G
复现步骤
启动 docker 容器后， cpu 占用率会上升到 50 %左右
预期结果

相关截图

[karllao]

+1，单核服务器会被占满100%

[finisitineris]

镜像疑似被加入了挖矿脚本 地址是: 107.167.83.34:443

[wyangx]

ubuntu同样的问题，启动镜像后cpu占用率会到50%

[luojiyin1987]

镜像疑似被加入了挖矿脚本 地址是: 107.167.83.34:443

有更详细的日志吗 ？ @finisitineris

[zhangolve]

是的，debug了好久。一开始vps都ssh进不去了，因为占用满了。。。

[luojiyin1987]

用 grype 扫描一下

[finisitineris]

我目前不方便截图，但很可能是 DockerHub 的镜像被投毒了。

我服务器上镜像的更新时间如下：

time="2024-12-27T01:13:16+08:00" level=info msg="Found new justsong/one-api:v0.6.9 image (ecf6dd577389)"
time="2024-12-27T01:13:17+08:00" level=info msg="Stopping /one-api (ff6fb3e8414e) with SIGTERM"
time="2024-12-27T01:13:19+08:00" level=info msg="Creating /one-api"
time="2024-12-27T01:13:19+08:00" level=info msg="Removing image c19f59f73a94"

我从监控看到在那之后占用一直很高。

在那个时间点，DockerHub 上的版本 0.6.5 和 0.6.9 的镜像被替换为投毒后的镜像（ID: 72e46af91bb2）。

https://hub.docker.com/r/justsong/one-api/tags

我是通过 1Panel 发现服务器占用过高，进程管理中发现一个名为 "7" 的进程占用资源异常，且其父进程为 one-api。然后我查看 "7" 进程的网络连接，发现其连接到 107.167.83.34:443，Nmap 了一下 IP 发现是一个矿池。

[luojiyin1987]

明白了

[Kosette]

DockerHub的v0.6.5-v0.6.9，以及latest应该全部被投毒了，都是一样的sha256。如果还能拿回账号控制权的话，建议先删除相应的tag镜像，避免更多的人中招，如果无法拿回控制权，建议置顶发出警告。

[Kosette]

看了一下 ghcr.io 的镜像更新时间还是6天前，应该只是DockerHub被拿下了，可以考虑使用 ghcr.io/songquanpeng/one-api:v0.6.9

[songquanpeng]

我先撤销所有 token

[songquanpeng]

我昨天并没有推送

[songquanpeng]

[songquanpeng]

初步判断是用于 One API 推送 docker 镜像的密钥被泄露了，该密钥仅用于 GitHub Actions