Исходное сообщение
"Уязвимость в Docker, позволяющая выбраться из контейнера" Отправлено пох., 30-Май-19 18:23
в смысле? Это способы его туда не тянуть. А pf в jail можно хотеть тянуть по миллиону причин - например, дать им порулить кому-то третьему. Но для этого понадобится таки vnet. С моей точки зрения - лучше бы его там не было, а кому-те мы дадим виртуальную машину, пусть подавится, но в ядре будет меньше подозрительного кривого кода, который некому поддерживать. P.S. впрочем, я тут случайно забрел в некоторые места, почитал, сделал выводы о перспективах фри в моем хозяйстве и в народном хозяйстве вообще. Вкратце: раз https://reviews.freebsd.org/D19094 и два: https://github.com/zfsonlinux/zfs/issues/7896 (напоминаю, что это вашновыйстанда...простите, апстрим, и именно по этой причине туда пришел Тутубалин, точнее, его сумели уговорить это сделать) Причем во втором случае есть шанс на победу здравого смысла, а в первом никаких надежд нет, типичное поведение фрибсдшников, ткнутых носом в проблему.