forum.opennet.ru

"Ubuntu ограничит доступ к user namespace"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "Ubuntu ограничит доступ к user namespace"	+/–
Сообщение от пох. (?), 10-Окт-23, 20:56
так весь фокус в том что в неймспейсе у тебя сброшены (в смысле - в исходное состояние, даже если были посброшены до clone) capabilities, и рут там тоже вполне себе может быть - причем для создания такого рута не надо иметь прав рута в системе. Ты не можешь конечно отмапить его в настоящего рута - но тут нам на помощь приходит очередная недоделанная проверка "а не в неймспейсе ли мы и если да то..."
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Ubuntu ограничит доступ к user namespace, opennews, 09-Окт-23, 23:50 [смотреть все]

Может они когда-нибудь исправят ужасный suid , Аноним, 09-Окт-23, 23:53 (2) //
- зачем, не используй его и всё, swarus, 10-Окт-23, 00:13 (3) //
  - а ныть как , noc101, 11-Окт-23, 04:32 (75)
- Исправил, не благодари https www opennet ru openforum vsluhforumID3 131681 ht, Аноним, 10-Окт-23, 05:46 (10)
Вааау бубунта закрыла это, типо вы сами не могли Целую новлсть из ничего, профи, scriptkiddis, 10-Окт-23, 00:53 (4)
Напомните, зачем гуглу этот доступ нужно оставлять , DeerFriend, 10-Окт-23, 01:06 (5) //
- Other applications, such as Google Chrome make use of namespaces to isolate its , Bob, 10-Окт-23, 03:14 (6)
- Вкладки браузера изолируются через user namespaces Не только Хрому, но ещё Элект, Аноним, 10-Окт-23, 05:56 (11) //
  - В чём я не прав Хоть бы аргументировали минусы, что ли Мне всё равно, а окружа, Аноним, 11-Окт-23, 01:51 (71)
- Дли шизоляции Чтобы Хромоног творил в системе, что хотел, just au planned , Аноним, 10-Окт-23, 09:27 (22) //
  - Если вам не нравится изоляция одной вкладки от другой, то выключите это просто, Всем Анонимам Аноним, 10-Окт-23, 12:04 (38) //
    - А дело не нравится не нравится А в пропихивании всеми доступными и не очень с, yet another anonymous, 10-Окт-23, 22:45 (68)
- Кто платит - того и ботинки, КО, 10-Окт-23, 12:35 (47)
Нерабочая схема, как работает эта хрень понятно двум с половиной анонам и всем , Аноним, 10-Окт-23, 05:06 (9) //
- Так тебе понимать ничего и не надо Она просто будет через пару промежуточных ит, пох., 10-Окт-23, 09:02 (19) //
  - Короче, закуплю попкорна к релизу бубунты , Аноним, 10-Окт-23, 09:25 (21)
- Да забей на AppArmor Просто используй SELinux , Аноним, 10-Окт-23, 13:15 (49)
Есть ли нечто подобное для SELinux Или это чисто решение выборочное ограничени, academiq, 10-Окт-23, 06:08 (12) //
- Ну, CAP_SYS_ADMIN должно быть можно выборочно заблокировать , Аноним, 10-Окт-23, 06:17 (13) //
  - Поздравляю, после перехода в user ns - он снова разблокирован , пох., 10-Окт-23, 22:43 (67)
- РТФМ setcap и https man7 org linux man-pages man7 capabilities 7 html, OpenEcho, 10-Окт-23, 11:34 (29)
- SELinux нужно перманентно отключать сразу после установки , Аноним, 10-Окт-23, 11:43 (33) //
  - нужно просто перекомпилить ядро с отключенной опцией MULTIUSER Тогда в линуксе , Аноним, 10-Окт-23, 12:23 (44) //
    - Анонимус научился выполнять menuconfig Как мило , Пряник, 17-Окт-23, 11:39 (79)
- напишешь - будет правда в targeted mode та еще затея - впрочем, убунта вон спр, пох., 10-Окт-23, 13:45 (51)
К чему эти нежности Нужно просто запретить пользователю включать компьютер , Аноним, 10-Окт-23, 09:02 (18) //
- Здрасти А как же управлять тогда толпой Так долго боролись чтоб мыши сами опл, OpenEcho, 10-Окт-23, 11:36 (30)
думаю, речь идёт об kernel unprivileged_userns_clone, который во всех нормальных, onanim, 10-Окт-23, 09:18 (20) //
- Как раз, наоборот Включен по умолчанию Отключен только на hardened-ядрах и в н, Аноним, 10-Окт-23, 10:13 (24) //
  - Ну всё понятно, Убунту под предлогом безопасности упрощает жизнь малвари Видн, Аноним, 10-Окт-23, 10:39 (27)
- Во-первых, это устаревший sysctl Во-вторых, его никогда не было в ядре Это вас, Аноним, 10-Окт-23, 11:19 (28) //
  - Нет Особого значения не имеет, так как речь идет об убунте, которая практически , Аноним, 10-Окт-23, 13:46 (52) //
    - Читай доки своего любимого дебьяна например If you prefer to keep this featu, Аноним, 10-Окт-23, 14:08 (55)
Короче, линукс идёт дорогой андроида - всё больше огораживаний Лет через пять о, Аноним, 10-Окт-23, 09:44 (23) //
- На десктопах уже давно sudo usermod -aG admin,wheel USERsudo passwd -l root , Аноним, 10-Окт-23, 10:17 (25) //
  - И как в этой ситуации обходите нажмите Ctrl-D или введите пароль root Или у , Anonim, 10-Окт-23, 10:22 (26) //
    - а действительно, как , И это очень хороший вопрос, 10-Окт-23, 17:41 (57)
    - Да просто - переустановил винд э линoops и живет дальше , пох., 10-Окт-23, 19:07 (58)
      - За 15 лет свой Арч только один раз переустанавливал, когда сносил дуалбут с Винд, Аноним, 11-Окт-23, 02:19 (74)
    - Забыл ещё в etc sudoers , d проверить наличие wheel ALL ALL ALL ALL Есл, Аноним, 11-Окт-23, 02:15 (73)
  - Скоро закроют всё кроме home username и sudo запретят , Аноним, 10-Окт-23, 11:42 (32) //
    - Уже Fedora Silverblue, Vanilla OS, Endless OS, и Ubuntu GNOME через 4 релиза , pic, 10-Окт-23, 11:55 (35)
Какого шлака только не понапридумывали лишь бы не использовать стандартные права, Аноним, 10-Окт-23, 11:40 (31) //
- Какого шлака только не понапридумывали лишь бы не использовать MS-DOS где можно , Аноним, 10-Окт-23, 11:53 (34) //
  - Я бы с удовольствием использовал MS-DOS если бы это было уместно в нынешних реал, Аноним, 10-Окт-23, 11:57 (36) //
    - Я бы с удовольствием использовал стандартные права на запись,чтение,исполнение ф, Аноним, 10-Окт-23, 11:58 (37)
повысить безопасность позволит выпиливание к хренам контейнеров, 12yoexpert, 10-Окт-23, 12:05 (40)
Вместо полной блокировки доступа к user namespace в Ubuntu применена гибридная , Kuromi, 10-Окт-23, 16:06 (56) //
- эти некоторые программы и есть - фуфлофокс, хромоног, нода и весь остальной вася, пох., 10-Окт-23, 20:07 (60) //
  - И что Разработчики браузера используют максимум фич им доступных, почему бы и н, Kuromi, 10-Окт-23, 20:22 (61) //
    - ну вот потому что конкретно эта фича - чревата внезапно-рутом Который через нее, пох., 10-Окт-23, 20:27 (62)
      - Конкретно эта не особо, механизм изоляции работает таким образом, что получить д, Аноним, 10-Окт-23, 20:41 (63)
        
        так весь фокус в том что в неймспейсе у тебя сброшены в смысле - в исходное сос , пох., 10-Окт-23, 20:56 (64)
        
        Так это значит, что уже есть возможность исполнять произвольный код и создавать , Аноним, 10-Окт-23, 21:25 (65)
        
        ну да А от кого же мы еще защищаемся-то в браузере да, привет У него уже и так, пох., 10-Окт-23, 22:41 (66)
        
        Действительно, настойчивое проталкивание wayland-only --- с доступом к GPU и око, yet another anonymous, 10-Окт-23, 22:58 (69)
        Так у кода в браузере есть только возможность исполнять жс вебассембли, это не т, Аноним, 11-Окт-23, 00:16 (70)
        
        https github com containers bubblewrap blob main bubblewrap c, Аноним, 11-Окт-23, 01:58 (72)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру