Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в LXC, позволяющая получить доступ к файлам вне к..., opennews (ok), 27-Ноя-16, (0) [смотреть все] Давать кому попало рута в контейнере - это уже заведомо хождение по минному полю, KonstantinB (ok), 12:35 , 27-Ноя-16, (2) –2 // LXC просто изначально не хотели делать рута внутри контейнеров, ну а потом по-бы, Аноним (-), 12:57 , 27-Ноя-16, (4) –2 // Да фиг с ним, с lxc, тут основная проблема в ptrace , KonstantinB (ok), 13:14 , 27-Ноя-16, (6) +1 Ну, то есть как Не хотели, потому что ядро не обеспечивало достаточной изоляции, KonstantinB (ok), 13:18 , 27-Ноя-16, (7) // Вообще подобные уязвимости нормальны, пока технологию не начинают активно примен, Аноним (-), 16:11 , 27-Ноя-16, (17) +1 Смысл тогда в контейнере, если рута не давать , Anonymous_1 (?), 14:46 , 27-Ноя-16, (11) +2 // Хм, ну поясни зачем тебе там рут, просто интересно , username (??), 15:23 , 27-Ноя-16, (12) –3 // Как запустить nginx без root , хомяк (?), 15:33 , 27-Ноя-16, (13) Так же как и с рутом Единственная привилегия, которая может понадобиться вебсерв, username (??), 16:53 , 27-Ноя-16, (18) +4 И опять наступаешь на те же грабли, только в профиль Либо режешь права группе и, Аноним (-), 08:20 , 28-Ноя-16, (45) Непривилегированные контейнеры с разрешенным CAP_NET_BIND_SERVICE, Аноним (-), 00:45 , 29-Ноя-16, (59) Порт за-DNAT-ить Обычно приемлемо, если в conntrack не упирается Но где это п, PnDx (ok), 15:06 , 28-Ноя-16, (48) Уже дюжину лет как CODE sysctl security mac portacl rules uid 80 tcp 80 CODE , Аноним (-), 18:42 , 27-Ноя-16, (21) +11 sysctl -a 124 grep security 124 wc -l0У Вас таки фрюха , PnDx (ok), 15:08 , 28-Ноя-16, (49) Ну да Я думал, раньше кто догадается А что, в пингвины такие вещи еще не завез, Аноним (-), 17:31 , 28-Ноя-16, (52) –3 Кто как Держите седьмой для ровного счёта , Michael Shigorin (ok), 18:19 , 28-Ноя-16, (53) sysctl security mac portacl rules uid 80 tcp 80sysctl Permission deniedОттака, pavlinux (ok), 00:00 , 29-Ноя-16, (58) –2 Начни с рассказа, зачем тебе вообще рут где-либо Может в процессе и сам поймешь, angra (ok), 15:33 , 27-Ноя-16, (14) что бы запускать свои сервисы - а не те которые хостер за меня решил запустить к, Аноним (-), 22:42 , 27-Ноя-16, (37) Тебе надо помочь сделать следующий шаг Если рут тебе обычно нужен для запуска с, angra (ok), 22:52 , 27-Ноя-16, (39) Расскажи это хостерам с openvz, они посмеются А тем, кто заикнется про XEN и пр, angra (ok), 15:34 , 27-Ноя-16, (15) // В openvz похожие уязвимости были , KonstantinB (ok), 19:11 , 27-Ноя-16, (22)   // Уязвимости находили практически везде Объявишь весь софт минным полем и откажеш, angra (ok), 20:28 , 27-Ноя-16, (29) +6   Это был ответ на расскажи хостерам В целом же, openvz изначально сделан грамот, KonstantinB (ok), 21:55 , 27-Ноя-16, (33) +1   еще бы долгое время тестировали на бесплатных юзерах, прежде чем закрыть его Вс, Аноним (-), 22:40 , 27-Ноя-16, (36) +2   Ты уже отказался от дырявого линуксового ядра или еще ходишь по этому минному по, angra (ok), 22:45 , 27-Ноя-16, (38) –2   Я имел ввиду linux containers в их текущем состоянии, а не какие-нибудь там абст, KonstantinB (ok), 22:55 , 27-Ноя-16, (40) +1   Теперь стало понятней и я даже частично согласен По-крайней мере давать чистого, angra (ok), 00:02 , 28-Ноя-16, (42)   в целом же, ты чушь морозишь несусветную ибо некомпетентен совершенно openvz 10 , Валик228 (?), 04:57 , 28-Ноя-16, (43)   Целиком Сам то пробовал, компетентный ты наш Кое-какую функциональность с vzct, angra (ok), 07:32 , 28-Ноя-16, (44) +2   не тупи - openvz потихоньку сливается - все наработки переливая в ванилу скоро , Аноним (-), 16:10 , 28-Ноя-16, (50) –2   Ничего себе степень альтернативной одаренности Да если весь патч openvz перейде, angra (ok), 22:12 , 28-Ноя-16, (54) –1   нет сил свое тянуть, cgroups linux-vserver наступают на пятки, клиенты уже нос, Аноним (-), 22:53 , 28-Ноя-16, (55) +1   Ты еще и из альтернативной вселенной пишешь , angra (ok), 23:10 , 28-Ноя-16, (57) –1   а тебе Parallels сколько отстегнул , Аноним (-), 13:01 , 29-Ноя-16, (60) –1   Компьютеры - минное поле Срочно отказываемся от них и возвращаемся в пещеры Ма, Аноним (-), 14:48 , 28-Ноя-16, (47) +1   Выделяя пользователю контейнер по сути на откуп отдают отдельную виртуальную сис, Аноним (-), 20:09 , 27-Ноя-16, (28) Смотря в каком Но особо воодушевлённые давно уж не верили, что LXC не для безо, Michael Shigorin (ok), 21:21 , 27-Ноя-16, (30) –1 // там просто уже некому делать вменяемый код , Аноним (-), 21:48 , 27-Ноя-16, (32) –2 В linux containers, разумеется - в контексте новости Solaris zones я не имел вв, KonstantinB (ok), 22:00 , 27-Ноя-16, (35) // Так опенвз вроде слился с виртуоззо , Ванга (?), 16:54 , 28-Ноя-16, (51) openvz это подачка в виде Open Core от виртуозы , Аноним (-), 22:53 , 28-Ноя-16, (56) +1 Какой host-провайдере предоставляет возможность использовать свой OS-template дл, seyko (??), 03:53 , 30-Ноя-16, (61) 2,61

Сообщения

[Сортировка по времени | RSS]

	22. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от KonstantinB (ok), 27-Ноя-16, 19:11
	В openvz похожие уязвимости были.
	Ответить | Правка | Наверх | Cообщить модератору

	29. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+6 +/–
	Сообщение от angra (ok), 27-Ноя-16, 20:28
	Уязвимости находили практически везде. Объявишь весь софт минным полем и откажешься от него?
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+1 +/–
	Сообщение от KonstantinB (ok), 27-Ноя-16, 21:55
	Это был ответ на "расскажи хостерам". В целом же, openvz изначально сделан грамотно. Openvz - это прежде всего патчи на ядро, достичь безопасности на дырявом ядре за счет проверок в userspace там никому в голову не приходило. lxc же это просто юзерспейсный набор инструментов, упрощающих использование linux containers/namespaces/cgroups. Говорить о его безопасности вообще не имеет смысла, его безопасность равна безопасности ядра. И патчи, подобные вот этой ерунде, на которую ссылка - это лечение симптомов, костыль, затыкающий один из бесконечного числа возможных векторов атаки. Реально уязвимость в ядре, в реализации ptrace(). В ядре уязвимости всегда были и еще много найдут, их там исправят, это нормально. Ненормально пихать userspace-затычки на один частный случай и называть это security fix.
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+2 +/–
	Сообщение от Аноним (-), 27-Ноя-16, 22:40
	> В целом же, openvz изначально сделан грамотно еще бы. долгое время тестировали на бесплатных юзерах, прежде чем закрыть его. Все же помним - как SWSoft - (тогда так назывался) взял и закрыл и никому не давал свои патчи на ядро.
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	–2 +/–
	Сообщение от angra (ok), 27-Ноя-16, 22:45
	> достичь безопасности на дырявом ядре за счет проверок в userspace там никому в голову не приходило > его безопасность равна безопасности ядра. Ты уже отказался от дырявого линуксового ядра или еще ходишь по этому минному полю? Или ты вообще считаешь, что ходить по минному полю это нормально так как "В ядре уязвимости всегда были и еще много найдут, их там исправят, это нормально"? Тогда к чему вообще был пассаж про рута в контейнере?
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	40. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+1 +/–
	Сообщение от KonstantinB (ok), 27-Ноя-16, 22:55
	Я имел ввиду linux containers в их текущем состоянии, а не какие-нибудь там абстрактные контейнеры.
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от angra (ok), 28-Ноя-16, 00:02
	Теперь стало понятней и я даже частично согласен. По-крайней мере давать чистого рута без отображения через namespaces точно не стоит. Но и с непривилегированными как видим могут быть некоторые проблемы.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от Валик228 (?), 28-Ноя-16, 04:57
	> В целом же, openvz изначально сделан грамотно. Openvz - это прежде всего патчи на ядро, достичь безопасности на дырявом ядре за счет проверок в userspace там никому в голову не приходило. в целом же, ты чушь морозишь несусветную ибо некомпетентен совершенно. openvz 10 лет тому возможно таким и было. сейчас опенвз целиком работает на неймспейсе, цпусетах и прочих ядерных технологиях (как и lxc), авторами большей части которых и являются openvz-шники.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	44. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+2 +/–
	Сообщение от angra (ok), 28-Ноя-16, 07:32
	Целиком? Сам то пробовал, компетентный ты наш? Кое-какую функциональность с vzctl 4.x и ванильным ядром получить конечно можно, но это будет лишь жалкая тень openvz, уступающая lxc. Полноценная работа openvz возможна лишь с их ядром.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	–2 +/–
	Сообщение от Аноним (-), 28-Ноя-16, 16:10
	не тупи ;-) openvz потихоньку сливается - все наработки переливая в ванилу. скоро совсем сольется. а ты можешь дальше использовать тестовый полигон OpenVZ.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	–1 +/–
	Сообщение от angra (ok), 28-Ноя-16, 22:12
	Ничего себе степень альтернативной одаренности. Да если весь патч openvz перейдет в ванилу, то это будет просто праздник. Все бы так сливались.
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+1 +/–
	Сообщение от Аноним (-), 28-Ноя-16, 22:53
	нет сил свое тянуть, cgroups + linux-vserver наступают на пятки, клиенты уже нос воротят - когда в ответ на запрос исходников им дулю суют, вот и приходится сливать..
	Ответить | Правка | Наверх | Cообщить модератору

	57. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	–1 +/–
	Сообщение от angra (ok), 28-Ноя-16, 23:10
	> linux-vserver наступают на пятки Ты еще и из альтернативной вселенной пишешь?
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	–1 +/–
	Сообщение от Аноним (-), 29-Ноя-16, 13:01
	а тебе Parallels сколько отстегнул ?
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+1 +/–
	Сообщение от Аноним (-), 28-Ноя-16, 14:48
	> Уязвимости находили практически везде. Объявишь весь софт минным полем и откажешься от > него? Компьютеры - минное поле. Срочно отказываемся от них и возвращаемся в пещеры! Мамонт стынет! /s
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема