forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Уязвимость в LXC, позволяющая получить доступ к файлам вне к..., opennews (ok), 27-Ноя-16, (0) [смотреть все]

Давать кому попало рута в контейнере - это уже заведомо хождение по минному полю, KonstantinB (ok), 12:35 , 27-Ноя-16, (2) –2 //

LXC просто изначально не хотели делать рута внутри контейнеров, ну а потом по-бы, Аноним (-), 12:57 , 27-Ноя-16, (4) –2 //

Да фиг с ним, с lxc, тут основная проблема в ptrace , KonstantinB (ok), 13:14 , 27-Ноя-16, (6) +1
Ну, то есть как Не хотели, потому что ядро не обеспечивало достаточной изоляции, KonstantinB (ok), 13:18 , 27-Ноя-16, (7) //

Вообще подобные уязвимости нормальны, пока технологию не начинают активно примен, Аноним (-), 16:11 , 27-Ноя-16, (17) +1

Смысл тогда в контейнере, если рута не давать , Anonymous_1 (?), 14:46 , 27-Ноя-16, (11) +2 //

Хм, ну поясни зачем тебе там рут, просто интересно , username (??), 15:23 , 27-Ноя-16, (12) –3 //

Как запустить nginx без root , хомяк (?), 15:33 , 27-Ноя-16, (13)

Так же как и с рутом Единственная привилегия, которая может понадобиться вебсерв, username (??), 16:53 , 27-Ноя-16, (18) +4

И опять наступаешь на те же грабли, только в профиль Либо режешь права группе и, Аноним (-), 08:20 , 28-Ноя-16, (45)

Непривилегированные контейнеры с разрешенным CAP_NET_BIND_SERVICE, Аноним (-), 00:45 , 29-Ноя-16, (59)

Порт за-DNAT-ить Обычно приемлемо, если в conntrack не упирается Но где это п, PnDx (ok), 15:06 , 28-Ноя-16, (48)

Уже дюжину лет как CODE sysctl security mac portacl rules uid 80 tcp 80 CODE , Аноним (-), 18:42 , 27-Ноя-16, (21) +11

sysctl -a 124 grep security 124 wc -l0У Вас таки фрюха , PnDx (ok), 15:08 , 28-Ноя-16, (49)

Ну да Я думал, раньше кто догадается А что, в пингвины такие вещи еще не завез, Аноним (-), 17:31 , 28-Ноя-16, (52) –3

Кто как Держите седьмой для ровного счёта , Michael Shigorin (ok), 18:19 , 28-Ноя-16, (53)

sysctl security mac portacl rules uid 80 tcp 80sysctl Permission deniedОттака, pavlinux (ok), 00:00 , 29-Ноя-16, (58) –2

Начни с рассказа, зачем тебе вообще рут где-либо Может в процессе и сам поймешь, angra (ok), 15:33 , 27-Ноя-16, (14)

что бы запускать свои сервисы - а не те которые хостер за меня решил запустить к, Аноним (-), 22:42 , 27-Ноя-16, (37)

Тебе надо помочь сделать следующий шаг Если рут тебе обычно нужен для запуска с, angra (ok), 22:52 , 27-Ноя-16, (39)

Расскажи это хостерам с openvz, они посмеются А тем, кто заикнется про XEN и пр, angra (ok), 15:34 , 27-Ноя-16, (15) //

В openvz похожие уязвимости были , KonstantinB (ok), 19:11 , 27-Ноя-16, (22) //

Уязвимости находили практически везде Объявишь весь софт минным полем и откажеш, angra (ok), 20:28 , 27-Ноя-16, (29) +6

Это был ответ на расскажи хостерам В целом же, openvz изначально сделан грамот, KonstantinB (ok), 21:55 , 27-Ноя-16, (33) +1

еще бы долгое время тестировали на бесплатных юзерах, прежде чем закрыть его Вс, Аноним (-), 22:40 , 27-Ноя-16, (36) +2
Ты уже отказался от дырявого линуксового ядра или еще ходишь по этому минному по, angra (ok), 22:45 , 27-Ноя-16, (38) –2

Я имел ввиду linux containers в их текущем состоянии, а не какие-нибудь там абст, KonstantinB (ok), 22:55 , 27-Ноя-16, (40) +1

Теперь стало понятней и я даже частично согласен По-крайней мере давать чистого, angra (ok), 00:02 , 28-Ноя-16, (42)

в целом же, ты чушь морозишь несусветную ибо некомпетентен совершенно openvz 10 , Валик228 (?), 04:57 , 28-Ноя-16, (43)

Целиком Сам то пробовал, компетентный ты наш Кое-какую функциональность с vzct, angra (ok), 07:32 , 28-Ноя-16, (44) +2

не тупи - openvz потихоньку сливается - все наработки переливая в ванилу скоро , Аноним (-), 16:10 , 28-Ноя-16, (50) –2

Ничего себе степень альтернативной одаренности Да если весь патч openvz перейде, angra (ok), 22:12 , 28-Ноя-16, (54) –1

нет сил свое тянуть, cgroups linux-vserver наступают на пятки, клиенты уже нос, Аноним (-), 22:53 , 28-Ноя-16, (55) +1

Ты еще и из альтернативной вселенной пишешь , angra (ok), 23:10 , 28-Ноя-16, (57) –1

а тебе Parallels сколько отстегнул , Аноним (-), 13:01 , 29-Ноя-16, (60) –1

Компьютеры - минное поле Срочно отказываемся от них и возвращаемся в пещеры Ма, Аноним (-), 14:48 , 28-Ноя-16, (47) +1

Выделяя пользователю контейнер по сути на откуп отдают отдельную виртуальную сис, Аноним (-), 20:09 , 27-Ноя-16, (28)
Смотря в каком Но особо воодушевлённые давно уж не верили, что LXC не для безо, Michael Shigorin (ok), 21:21 , 27-Ноя-16, (30) –1 //

там просто уже некому делать вменяемый код , Аноним (-), 21:48 , 27-Ноя-16, (32) –2
В linux containers, разумеется - в контексте новости Solaris zones я не имел вв, KonstantinB (ok), 22:00 , 27-Ноя-16, (35) //

Так опенвз вроде слился с виртуоззо , Ванга (?), 16:54 , 28-Ноя-16, (51)

openvz это подачка в виде Open Core от виртуозы , Аноним (-), 22:53 , 28-Ноя-16, (56) +1

Какой host-провайдере предоставляет возможность использовать свой OS-template дл, seyko (??), 03:53 , 30-Ноя-16, (61)

Сообщения [Сортировка по времени | RSS]

11. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +2 +/–

Сообщение от Anonymous_1 (?), 27-Ноя-16, 14:46

Смысл тогда в контейнере, если рута не давать?)

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

12. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." –3 +/–

Сообщение от username (??), 27-Ноя-16, 15:23

Хм, ну поясни зачем тебе там рут, просто интересно.

Ответить | Правка | Наверх | Cообщить модератору

13. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +/–

Сообщение от хомяк (?), 27-Ноя-16, 15:33

Как запустить nginx без root?

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +4 +/–

Сообщение от username (??), 27-Ноя-16, 16:53

Так же как и с рутом.
Единственная привилегия, которая может понадобиться вебсерверу, это возможность слушать на портах < 1024. Что вполне решается навешиванием атрибутов (привилегий) на бинарник nginx

Ответить | Правка | Наверх | Cообщить модератору

45. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +/–

Сообщение от Аноним (-), 28-Ноя-16, 08:20

> Что вполне решается навешиванием атрибутов (привилегий) на бинарник nginx
И опять наступаешь на те же грабли, только в профиль. Либо режешь права группе и навешиваешь на бинарник, запрещаешь некоторые системные вызовы, тогда да, возможно. И то из контейнера можно будет выйти через какую-нибудь уязвимость нулевого-дня.

Ответить | Правка | Наверх | Cообщить модератору

59. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +/–

Сообщение от Аноним (-), 29-Ноя-16, 00:45

Непривилегированные контейнеры с разрешенным CAP_NET_BIND_SERVICE

Ответить | Правка | Наверх | Cообщить модератору

48. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +/–

Сообщение от PnDx (ok), 28-Ноя-16, 15:06

Порт за-DNAT-ить. Обычно приемлемо, если в conntrack не упирается. (Но где это проблема, там lxc с iptables'ами по фигу наверное, т.к. netmap и прочее интересное.)

Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

21. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +11 +/–

Сообщение от Аноним (-), 27-Ноя-16, 18:42

> Как запустить nginx без root?
Уже дюжину лет как

sysctl security.mac.portacl.rules=uid:80:tcp:80

Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

49. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +/–

Сообщение от PnDx (ok), 28-Ноя-16, 15:08

> Уже дюжину лет как
>

> sysctl security.mac.portacl.rules=uid:80:tcp:80
>

# sysctl -a | grep  security | wc -l
0
У Вас таки фрюха?

Ответить | Правка | Наверх | Cообщить модератору

52. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." –3 +/–

Сообщение от Аноним (-), 28-Ноя-16, 17:31

> # sysctl -a | grep  security | wc -l
> 0
> У Вас таки фрюха?
Ну да. Я думал, раньше кто догадается.
А что, в пингвины такие вещи еще не завезли? oO
Тогда пожалуйста:
https://github.com/freebsd/freebsd/blob/master/sys/security/...
Хотя у вас вроде как setcap + CAP_NET_BIND_SERVICE есть ;)
Да и в целом просто прикольный эксперимент - вон, пока не знали, накрутили 6 плюсов, теперь можно посмотреть, насколько классовая неприязнь преобладает над здравым смыслом )
Кстати, man grep
> -c    Выдает только количество строк, содержащих образец.
>

Ответить | Правка | Наверх | Cообщить модератору

53. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +/–

Сообщение от Michael Shigorin (ok), 28-Ноя-16, 18:19

> Да и в целом просто прикольный эксперимент - вон, пока не знали
Кто как :)
> накрутили 6 плюсов
Держите седьмой для ровного счёта.

Ответить | Правка | Наверх | Cообщить модератору

58. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." –2 +/–

Сообщение от pavlinux (ok), 29-Ноя-16, 00:00

$ sysctl security.mac.portacl.rules=uid:80:tcp:80
sysctl: Permission denied
Оттака ..ня, ребяты

Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

14. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +/–

Сообщение от angra (ok), 27-Ноя-16, 15:33

Начни с рассказа, зачем тебе вообще рут где-либо. Может в процессе и сам поймешь. Контейнер ничем особо не отличается от железной машины для большинства задач.

Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

37. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +/–

Сообщение от Аноним (-), 27-Ноя-16, 22:42

> Начни с рассказа, зачем тебе вообще рут где-либо. Может в процессе и
> сам поймешь. Контейнер ничем особо не отличается от железной машины для
> большинства задач.
что бы запускать свои сервисы - а не те которые хостер за меня решил запустить.
к пример потунелировать openvpn через 443 порт.

Ответить | Правка | Наверх | Cообщить модератору

39. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..." +/–

Сообщение от angra (ok), 27-Ноя-16, 22:52

Тебе надо помочь сделать следующий шаг? Если рут тебе обычно нужен для запуска своих сервисов, то рут в контейнере тебе нужен ... для запуска в нем своих сервисов. Неожиданно, правда?

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру


	11. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+2 +/–
	Сообщение от Anonymous_1 (?), 27-Ноя-16, 14:46
	Смысл тогда в контейнере, если рута не давать?)
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору


	12. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	–3 +/–
	Сообщение от username (??), 27-Ноя-16, 15:23
	Хм, ну поясни зачем тебе там рут, просто интересно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	13. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от хомяк (?), 27-Ноя-16, 15:33
	Как запустить nginx без root?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+4 +/–
	Сообщение от username (??), 27-Ноя-16, 16:53
	Так же как и с рутом. Единственная привилегия, которая может понадобиться вебсерверу, это возможность слушать на портах < 1024. Что вполне решается навешиванием атрибутов (привилегий) на бинарник nginx
	Ответить \| Правка \| Наверх \| Cообщить модератору


	45. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от Аноним (-), 28-Ноя-16, 08:20
	> Что вполне решается навешиванием атрибутов (привилегий) на бинарник nginx И опять наступаешь на те же грабли, только в профиль. Либо режешь права группе и навешиваешь на бинарник, запрещаешь некоторые системные вызовы, тогда да, возможно. И то из контейнера можно будет выйти через какую-нибудь уязвимость нулевого-дня.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	59. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от Аноним (-), 29-Ноя-16, 00:45
	Непривилегированные контейнеры с разрешенным CAP_NET_BIND_SERVICE
	Ответить \| Правка \| Наверх \| Cообщить модератору


	48. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от PnDx (ok), 28-Ноя-16, 15:06
	Порт за-DNAT-ить. Обычно приемлемо, если в conntrack не упирается. (Но где это проблема, там lxc с iptables'ами по фигу наверное, т.к. netmap и прочее интересное.)
	Ответить \| Правка \| К родителю #18 \| Наверх \| Cообщить модератору


	21. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+11 +/–
	Сообщение от Аноним (-), 27-Ноя-16, 18:42
	> Как запустить nginx без root? Уже дюжину лет как sysctl security.mac.portacl.rules=uid:80:tcp:80
	Ответить \| Правка \| К родителю #13 \| Наверх \| Cообщить модератору


	49. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от PnDx (ok), 28-Ноя-16, 15:08
	> Уже дюжину лет как > > sysctl security.mac.portacl.rules=uid:80:tcp:80 > # sysctl -a \| grep security \| wc -l 0 У Вас таки фрюха?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	52. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	–3 +/–
	Сообщение от Аноним (-), 28-Ноя-16, 17:31
	> # sysctl -a \| grep security \| wc -l > 0 > У Вас таки фрюха? Ну да. Я думал, раньше кто догадается. А что, в пингвины такие вещи еще не завезли? oO Тогда пожалуйста: https://github.com/freebsd/freebsd/blob/master/sys/security/... Хотя у вас вроде как setcap + CAP_NET_BIND_SERVICE есть ;) Да и в целом просто прикольный эксперимент - вон, пока не знали, накрутили 6 плюсов, теперь можно посмотреть, насколько классовая неприязнь преобладает над здравым смыслом ) Кстати, man grep > -c Выдает только количество строк, содержащих образец. >
	Ответить \| Правка \| Наверх \| Cообщить модератору


	53. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от Michael Shigorin (ok), 28-Ноя-16, 18:19
	> Да и в целом просто прикольный эксперимент - вон, пока не знали Кто как :) > накрутили 6 плюсов Держите седьмой для ровного счёта.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	58. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	–2 +/–
	Сообщение от pavlinux (ok), 29-Ноя-16, 00:00
	$ sysctl security.mac.portacl.rules=uid:80:tcp:80 sysctl: Permission denied Оттака ..ня, ребяты
	Ответить \| Правка \| К родителю #21 \| Наверх \| Cообщить модератору


	14. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от angra (ok), 27-Ноя-16, 15:33
	Начни с рассказа, зачем тебе вообще рут где-либо. Может в процессе и сам поймешь. Контейнер ничем особо не отличается от железной машины для большинства задач.
	Ответить \| Правка \| К родителю #12 \| Наверх \| Cообщить модератору


	37. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от Аноним (-), 27-Ноя-16, 22:42
	> Начни с рассказа, зачем тебе вообще рут где-либо. Может в процессе и > сам поймешь. Контейнер ничем особо не отличается от железной машины для > большинства задач. что бы запускать свои сервисы - а не те которые хостер за меня решил запустить. к пример потунелировать openvpn через 443 порт.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	39. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от angra (ok), 27-Ноя-16, 22:52
	Тебе надо помочь сделать следующий шаг? Если рут тебе обычно нужен для запуска своих сервисов, то рут в контейнере тебе нужен ... для запуска в нем своих сервисов. Неожиданно, правда?
	Ответить \| Правка \| Наверх \| Cообщить модератору