Исходное сообщение
"Релиз ядра Linux 4.3" Отправлено xai, 07-Ноя-15 09:49
1. В любом случае будет лучше, когда у него будет просто CAP_DAC_READ_SEARCH, а не uid=0. 2. Мой бинарник кроме capabilities использует seccomp, chroot/pivot_root/umount, unshare и cgroups. Даже если бинарник окажется злым, то сделать намеренно что-то плохое будет всё равно сложновато. 3. Тот, кто настраивал конфиг к моему бинарнику и способ его запуска, пусть и отвечает за няшность этого exec-нутого бинарника.