Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в LXC, позволяющая получить доступ к файлам вне к..., opennews (ok), 27-Ноя-16, (0) [смотреть все] Давать кому попало рута в контейнере - это уже заведомо хождение по минному полю, KonstantinB (ok), 12:35 , 27-Ноя-16, (2) –2 // LXC просто изначально не хотели делать рута внутри контейнеров, ну а потом по-бы, Аноним (-), 12:57 , 27-Ноя-16, (4) –2 // Да фиг с ним, с lxc, тут основная проблема в ptrace , KonstantinB (ok), 13:14 , 27-Ноя-16, (6) +1 Ну, то есть как Не хотели, потому что ядро не обеспечивало достаточной изоляции, KonstantinB (ok), 13:18 , 27-Ноя-16, (7) // Вообще подобные уязвимости нормальны, пока технологию не начинают активно примен, Аноним (-), 16:11 , 27-Ноя-16, (17) +1 Смысл тогда в контейнере, если рута не давать , Anonymous_1 (?), 14:46 , 27-Ноя-16, (11) +2 // Хм, ну поясни зачем тебе там рут, просто интересно , username (??), 15:23 , 27-Ноя-16, (12) –3 // Как запустить nginx без root , хомяк (?), 15:33 , 27-Ноя-16, (13) Так же как и с рутом Единственная привилегия, которая может понадобиться вебсерв, username (??), 16:53 , 27-Ноя-16, (18) +4 И опять наступаешь на те же грабли, только в профиль Либо режешь права группе и, Аноним (-), 08:20 , 28-Ноя-16, (45) Непривилегированные контейнеры с разрешенным CAP_NET_BIND_SERVICE, Аноним (-), 00:45 , 29-Ноя-16, (59) Порт за-DNAT-ить Обычно приемлемо, если в conntrack не упирается Но где это п, PnDx (ok), 15:06 , 28-Ноя-16, (48) Уже дюжину лет как CODE sysctl security mac portacl rules uid 80 tcp 80 CODE , Аноним (-), 18:42 , 27-Ноя-16, (21) +11 sysctl -a 124 grep security 124 wc -l0У Вас таки фрюха , PnDx (ok), 15:08 , 28-Ноя-16, (49) Ну да Я думал, раньше кто догадается А что, в пингвины такие вещи еще не завез, Аноним (-), 17:31 , 28-Ноя-16, (52) –3 Кто как Держите седьмой для ровного счёта , Michael Shigorin (ok), 18:19 , 28-Ноя-16, (53) sysctl security mac portacl rules uid 80 tcp 80sysctl Permission deniedОттака, pavlinux (ok), 00:00 , 29-Ноя-16, (58) –2 Начни с рассказа, зачем тебе вообще рут где-либо Может в процессе и сам поймешь, angra (ok), 15:33 , 27-Ноя-16, (14) что бы запускать свои сервисы - а не те которые хостер за меня решил запустить к, Аноним (-), 22:42 , 27-Ноя-16, (37) Тебе надо помочь сделать следующий шаг Если рут тебе обычно нужен для запуска с, angra (ok), 22:52 , 27-Ноя-16, (39) Расскажи это хостерам с openvz, они посмеются А тем, кто заикнется про XEN и пр, angra (ok), 15:34 , 27-Ноя-16, (15) // В openvz похожие уязвимости были , KonstantinB (ok), 19:11 , 27-Ноя-16, (22) // Уязвимости находили практически везде Объявишь весь софт минным полем и откажеш, angra (ok), 20:28 , 27-Ноя-16, (29) +6 Это был ответ на расскажи хостерам В целом же, openvz изначально сделан грамот, KonstantinB (ok), 21:55 , 27-Ноя-16, (33) +1 еще бы долгое время тестировали на бесплатных юзерах, прежде чем закрыть его Вс, Аноним (-), 22:40 , 27-Ноя-16, (36) +2 Ты уже отказался от дырявого линуксового ядра или еще ходишь по этому минному по, angra (ok), 22:45 , 27-Ноя-16, (38) –2 Я имел ввиду linux containers в их текущем состоянии, а не какие-нибудь там абст, KonstantinB (ok), 22:55 , 27-Ноя-16, (40) +1 Теперь стало понятней и я даже частично согласен По-крайней мере давать чистого, angra (ok), 00:02 , 28-Ноя-16, (42) в целом же, ты чушь морозишь несусветную ибо некомпетентен совершенно openvz 10 , Валик228 (?), 04:57 , 28-Ноя-16, (43) Целиком Сам то пробовал, компетентный ты наш Кое-какую функциональность с vzct, angra (ok), 07:32 , 28-Ноя-16, (44) +2 не тупи - openvz потихоньку сливается - все наработки переливая в ванилу скоро , Аноним (-), 16:10 , 28-Ноя-16, (50) –2 Ничего себе степень альтернативной одаренности Да если весь патч openvz перейде, angra (ok), 22:12 , 28-Ноя-16, (54) –1 нет сил свое тянуть, cgroups linux-vserver наступают на пятки, клиенты уже нос, Аноним (-), 22:53 , 28-Ноя-16, (55) +1 Ты еще и из альтернативной вселенной пишешь , angra (ok), 23:10 , 28-Ноя-16, (57) –1 а тебе Parallels сколько отстегнул , Аноним (-), 13:01 , 29-Ноя-16, (60) –1 Компьютеры - минное поле Срочно отказываемся от них и возвращаемся в пещеры Ма, Аноним (-), 14:48 , 28-Ноя-16, (47) +1 Выделяя пользователю контейнер по сути на откуп отдают отдельную виртуальную сис, Аноним (-), 20:09 , 27-Ноя-16, (28) Смотря в каком Но особо воодушевлённые давно уж не верили, что LXC не для безо, Michael Shigorin (ok), 21:21 , 27-Ноя-16, (30) –1 // там просто уже некому делать вменяемый код , Аноним (-), 21:48 , 27-Ноя-16, (32) –2 В linux containers, разумеется - в контексте новости Solaris zones я не имел вв, KonstantinB (ok), 22:00 , 27-Ноя-16, (35)   // Так опенвз вроде слился с виртуоззо , Ванга (?), 16:54 , 28-Ноя-16, (51)   openvz это подачка в виде Open Core от виртуозы , Аноним (-), 22:53 , 28-Ноя-16, (56) +1   Какой host-провайдере предоставляет возможность использовать свой OS-template дл, seyko (??), 03:53 , 30-Ноя-16, (61) 2,61

Сообщения

[Сортировка по времени | RSS]

	35. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от KonstantinB (ok), 27-Ноя-16, 22:00
	> Смотря в каком В linux containers, разумеется - в контексте новости. Solaris zones я не имел ввиду точно. > Жаль, с ovz containers что-то непонятное творится. Да вроде понятное - "дом свободный, живите кто хотите".
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

	51. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+/–
	Сообщение от Ванга (?), 28-Ноя-16, 16:54
	Так опенвз вроде слился с виртуоззо?
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Уязвимость в LXC, позволяющая получить доступ к файлам вне к..."	+1 +/–
	Сообщение от Аноним (-), 28-Ноя-16, 22:53
	> Так опенвз вроде слился с виртуоззо? openvz это подачка в виде Open Core от виртуозы.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема