Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Docker, позволяющая выбраться из контейнера, opennews (??), 29-Май-19, (0) [смотреть все] Ждем комментаторов с искрометными шутками про девляпсов и контейнеры нинужны , Аноним (1), 13:22 , 29-Май-19, (1) +19   // Контейнеры нинужны, у меня на Windows 10 ничего не изолировано и работает , КэГэБэ эСэСэСэР (?), 13:25 , 29-Май-19, (2) +10   // И тебе нечего скрывать , Аноним (42), 16:54 , 29-Май-19, (42) +8   Ничего кроме тебя самого , VINRARUS (ok), 18:32 , 29-Май-19, (58) –2   Дыркер -- он про сак-сцесс и искромётные комментарии https www opennet, Andrey Mitrofanov_N0 (?), 13:26 , 29-Май-19, (3)   // поставил тебе - -- первый -- безумный -- Текст второй безум, Аноним (64), 19:35 , 29-Май-19, (64) –1   Митрофаныч, у тебя учетку на опеннетике угнали что ли , Васян (?), 17:47 , 30-Май-19, (137)   // Граждане, это поддельный Митрофанушко , Васян (?), 17:49 , 30-Май-19, (138) –1   Почему это не нужны Это хорошый способ предотвратить возможность какому-нибудь , Аноним (5), 13:30 , 29-Май-19, (5) +5   // Этот кейс требует изоляции только на уровне файловой системы, что легко решается, Аноним (40), 16:37 , 29-Май-19, (40) +3   // Да, но инфраструктура более легковесных в плане ресурсов решений оказывается бол, freehck (ok), 18:31 , 29-Май-19, (57) +1   Вопрос лишь о том, зачем под доскер подстилать большую юникс-подобную систему, п, Anonymoustus (ok), 19:03 , 29-Май-19, (60)   Анонимаустус, а каким боком и что именно докер сломал-то , freehck (ok), 19:53 , 29-Май-19, (69) –2   Не доскер сломал, а те, кто из линукса делают корпоративную пускалку для доскеро, Anonymoustus (ok), 20:12 , 29-Май-19, (73) +1   Никсы нужны для того, чтобы ими пользоваться, причём - как _угодно_, так и польз, IRASoldier_registered (ok), 02:34 , 30-Май-19, (98) –4   Здесь у нас, похоже, ещё один опоздавший родиться, не читавший ни Реймонда, ни К, Anonymoustus (ok), 07:17 , 30-Май-19, (102)   Ой, а в чём, расскажИте А то вы может тоже похоже не читали , Аноним (114), 13:25 , 30-Май-19, (114) –2   Эти ссылки не для тебя, невежливый аноним, ты всё равно читать не будешь Это дл, Anonymoustus (ok), 13:28 , 30-Май-19, (116)   Про macOS и Все те маленькие sh, awk, sed, vi vim и пр и не очень маленькие , Andrey Mitrofanov_N0 (?), 08:49 , 31-Май-19, (154)   https www opengroup org openbrand registerЕсли бы ты пользовался Маком, ты бы , Anonymoustus (ok), 09:03 , 31-Май-19, (155)   И не для того, чтобы молиться на священные книги предков и основателей Предн, IRASoldier_registered (ok), 18:09 , 30-Май-19, (141) –3   Ты книжки почитай по моим ссылкам, проникнись, _пойми_ наконец, _что такое_ Юник, Anonymoustus (ok), 18:28 , 30-Май-19, (144)   Книжки-то интересные И читанные Но _дискуссия_ не имеет никакого реального смы, IRASoldier_registered (ok), 20:10 , 30-Май-19, (145) –2   Главное было в рисёрче на авось продажникам AT T прокатит Чего бы там академия, Andrey Mitrofanov_N0 (?), 08:41 , 31-Май-19, (153)   Юникс изначально делали не для продажи для продажи там были другие товары и усл, Anonymoustus (ok), 09:12 , 31-Май-19, (156)   И где теперь все те никсы для корпоративных задач которыми пользовались Гуса, анонн (?), 13:28 , 30-Май-19, (117) +1   Самые распространенные в этом сегменте дистрибутивы линуксов бсд - ну да ты ж , IRASoldier_registered (ok), 17:55 , 30-Май-19, (139) –1   И это отвечает на какой вопрос Помимо того, что если даже забыть о Linux is not, анонн (?), 18:11 , 30-Май-19, (142)   Какой-то уход разговора в сторону и кашеобразие С чего началось Началось с тог, IRASoldier_registered (ok), 20:29 , 30-Май-19, (146) –1   Сделали уже Маленькая пускалка для dockerhttps rancher com rancher-os , Anonymouss (?), 20:53 , 29-Май-19, (79) –2   Потому что это не правильный подход Надо не систему бутстрапить, а сбандлить с , Аноним (103), 08:29 , 30-Май-19, (103)   Плюсую А ещё деплой удобнее в разы становится , freehck (ok), 18:28 , 29-Май-19, (56)   // Скрыто модератором, пох. (?), 20:11 , 29-Май-19, (72) +1   Скрыто модератором, хотел спросить (?), 22:05 , 29-Май-19, (86)   Скрыто модератором, пох. (?), 22:13 , 29-Май-19, (91)   Скрыто модератором, хотел спросить (?), 02:28 , 30-Май-19, (97) –2   Скрыто модератором, пох. (?), 13:54 , 30-Май-19, (122)   Скрыто модератором, хотел спросить (?), 21:54 , 30-Май-19, (147) –2   Если писать код абсолютно правильно, то контейнеры не особо то и нужны Но с ним, Аноним (8), 13:49 , 29-Май-19, (8) +3   // максималист детектед Возвращайся в мир собственных фантазий, kai3341 (ok), 14:07 , 29-Май-19, (10) +1   Контейнеры были придуманы для разделения ресурсов между сервисами, выполняющимис, Аноним (40), 16:27 , 29-Май-19, (39) +1   // да ну нах Я-то думал для разделения ресурсов были придуманы многозадачные опера, пох. (?), 22:06 , 29-Май-19, (87) +3   systemd-nspawn, SysA (?), 17:27 , 30-Май-19, (135) –1   Если использовать java EE, то доцкер не нужен Может есть и другие вменяемые пла, лютый жабист__ (?), 18:44 , 29-Май-19, (59) –3   // угу, вместо сравнительно дешевого девляпса надо кормить наглого и распухшего от , пох. (?), 14:09 , 30-Май-19, (123) +1   У девляпсов копирование файлов в контейнер точнее, образ выполняется только , Fyjybv755 (?), 15:22 , 29-Май-19, (27) +1   // объявленные те что персистентны, а не каждый раз вручную deprecated пять лет н, пох. (?), 16:07 , 29-Май-19, (33) –2   // И чем заменять предлагают , Анониим (?), 17:00 , 29-Май-19, (43)   как обычно, ничем - как, вы не слышали в какой криокамере вы спали standalone, пох. (?), 17:58 , 29-Май-19, (49) –1   в k8s все тем более через volume-ы делается, Аноним (53), 18:13 , 29-Май-19, (53) +2   Судя по его комментам в этом обсуждении, докер он видел только на картин Wвинде,, Fyjybv755 (?), 12:41 , 30-Май-19, (112) –1   ваш сварм - такое же устаревшее ненужно, уже выкинутое ляпателями доскера в помо, пох. (?), 14:16 , 30-Май-19, (125)   Осталось найти девопса и убедить его сто раз скачать файл из работающего контейн, sailorCat (?), 17:37 , 29-Май-19, (45)   ну нет, зачем же так - надо найти девопса с десятью тысячами контейнеров, и как-, пох. (?), 18:00 , 29-Май-19, (50)   Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации и чуть что - , Fyjybv755 (?), 12:39 , 30-Май-19, (111) –1   Зачем ты приписываешь свои слова другим На практике проще Но не правильней Потом, Аноним (114), 13:31 , 30-Май-19, (118)   ну нет, зачем же - он как раз автоматически наш эксплойт и запустит, вручную-то , пох. (?), 14:22 , 30-Май-19, (126)   docker cp Нет, не запустит В процессе продового деплоя отладочным операциям не, Fyjybv755 (?), 15:52 , 30-Май-19, (128) –1   ага, перезапускать до посинения прода, после - обновить резюме так же, как мы ра, пох. (?), 16:08 , 30-Май-19, (132)   Где вы такую траву берете Или вы машину времени украли и пишете из 2030 года , Анонимус2 (?), 19:38 , 29-Май-19, (65) +1   Не машину, а вагон времени Всё это ваше ГНУ именно про вагон бесплатного чужого, Аноним (114), 13:27 , 30-Май-19, (115)   Сестра, тампоны В треде ушибленный ГНУ 1У тебя ушиб, если ты девляпсы выше п, Andrey Mitrofanov_N0 (?), 09:21 , 31-Май-19, (157)   О, сразу видно великого спеца по девляпсам Контейнеры, значит, вручную создаете, Fyjybv755 (?), 12:35 , 30-Май-19, (110)   сразу видно великого спеца-девляпса, он даже не понял что речь о персистентных т, пох. (?), 14:25 , 30-Май-19, (127)   Нет, я не понял, нафига вообще нужны персистентные тома Еще раз список томов в, Fyjybv755 (?), 16:07 , 30-Май-19, (131) –2   в этой- низачем, поэтому поломано и починено не будет Как и много чего еще, бр, пох. (?), 16:11 , 30-Май-19, (133) +1   Не каждому разработчику удаётся выбраться из контейнера на оплачиваемую работу , Канделябры (?), 16:02 , 29-Май-19, (32) +11   // Хьело фрём Индия, дрюгь Ми написале харёши кёд для твая видиёкартачкя, дрюгь Т, Аноним (52), 18:10 , 29-Май-19, (52) +2   Жаль, что тебе и подобным не понятно, что это не шутки в целом Контейнеры сами п, Дон Ягон (?), 16:17 , 29-Май-19, (37) +2   // какая разница между концепцией контейнеров, ее реализацией в докере и линуксовым, виндотролль (ok), 06:44 , 30-Май-19, (101) –1   // Это, на самом деле, непростой вопрос, на который развёрнуто отвечать можно очень, Дон Ягон (?), 16:00 , 30-Май-19, (130)   Ты про вебмакак забыл без них никуда , Аноним (55), 18:18 , 29-Май-19, (55) +2   Контейнеры2 НЕ НУЖНЫ дЕВЛЯПСЫ И ХИПСТОТА ЗЛО , псевонимус (?), 15:53 , 02-Июн-19, (162)   nobigfatdaemon, Аноним (-), 13:26 , 29-Май-19, (4) Скрыто модератором, ыфективный манагер (?), 13:46 , 29-Май-19, (6) +3 // Скрыто модератором, имя (?), 14:07 , 29-Май-19, (9) +2 // Скрыто модератором, анонн (?), 14:11 , 29-Май-19, (11) +2 Скрыто модератором, Евгений Петросян (?), 14:24 , 29-Май-19, (13) +1 Скрыто модератором, Fyjybv755 (?), 15:12 , 29-Май-19, (23) –1 notabug, Аноним (7), 13:47 , 29-Май-19, (7) +3 Ну где тот аноним, который биткоинами разбрасывался месяц даже не прошел , Sw00p aka Jerom (?), 14:19 , 29-Май-19, (12) +5 // ну он вроде обещался за вылезание из контейнера, а не за эксплуатацию уязвимости, пох. (?), 14:26 , 29-Май-19, (14) // И вероятность удачи порядка 1 на попытку Очень долго придется несчастного лоха, Fyjybv755 (?), 15:09 , 29-Май-19, (22) –1 Он обещал за выход из контейнера А сабжевая жуткая мега-уязвимость предполагает, Fyjybv755 (?), 15:06 , 29-Май-19, (18) –1 // так каждый дурак может, тут идея что полномочия-то не у тебя, а используешь их -, пох. (?), 16:08 , 29-Май-19, (34) // Фигасе без спросу - сотню-другую раз подряд просить админа ну скопируй мне фа, Fyjybv755 (?), 12:42 , 30-Май-19, (113) –1 Systemd, dockers, не хватает только реестра для полного счастья , Аноним (15), 14:37 , 29-Май-19, (15) +1 // dconf, Аноним (17), 14:42 , 29-Май-19, (17) +2 C буквой s это будет другой, неправильный докер , Аноним84701 (ok), 15:06 , 29-Май-19, (19) +2 Wayland же, причем тут реестр , Аноним (28), 15:23 , 29-Май-19, (28) –1 // -- Тому не надо Windows искать, у кого он за спиной стоит почти , Andrey Mitrofanov_N0 (?), 15:44 , 29-Май-19, (30) +1 // на десктопе стоит , пох. (?), 16:09 , 29-Май-19, (35) не, за спиной rh W ibmel-а , Andrey Mitrofanov_N0 (?), 09:27 , 31-Май-19, (158) В топике ничего не сказано про systemd, чудик , Gannet (ok), 23:22 , 29-Май-19, (92) –1 Вот уязвимость так уязвимость Я аж забоялся , corvuscor (ok), 14:40 , 29-Май-19, (16) Может, проще сразу попросить рутовый доступ А что, неплохая уязвимость получает, Fyjybv755 (?), 15:08 , 29-Май-19, (20) +1 А когда выберетесь из докера, то что дальше делать будете , Аноним (21), 15:08 , 29-Май-19, (21) –1 // Если говорить о реалистичных сценариях атаки, то это не выбраться из контейнера, Fyjybv755 (?), 15:15 , 29-Май-19, (24) +1 Снова ночь и снова демоны приподнимают крышки контейнеров, оглядываются вокруг и, Какаянахренразница (ok), 15:20 , 29-Май-19, (25) +9 Вот читаю комментарии, и удивляюсь Никогда столь дырявая вещь не захватывала ум, zurapa (ok), 15:58 , 29-Май-19, (31) +10 // вот сейчас обидно получилось доскер с системд - не то что не близнецы-братья, а , пох. (?), 16:16 , 29-Май-19, (36) // Мне не понятно Объясни , Ёж (?), 17:05 , 29-Май-19, (44) // у тебя есть демон, работает с поднятыми привиллегиями, запускается тем у кого он, пох. (?), 17:54 , 29-Май-19, (47) да при чём тут докер то E у меня за 2 года прода багов докера было ровно два, , вИКТОР АГН (?), 20:01 , 29-Май-19, (70) –2 // да-да-да, если у меня работает, значит не гoвно , Аноним (99), 02:37 , 30-Май-19, (99) +1 2K рпс наносекунду Толсто однако РПС - RPS - requests per second Даже если за, Аноним (150), 06:37 , 31-Май-19, (150) +1 Другими словами вы pizdobol сэр , Аноним (150), 06:39 , 31-Май-19, (151) +1 Я в своём комментарии, как бы намека явно говорю , что без systemd, с которым т, zurapa (ok), 11:56 , 31-Май-19, (159) –1 Нео путь избранного, Гномспецназ (?), 16:22 , 29-Май-19, (38) А что Freebsd с её джейламм , Аноним (41), 16:47 , 29-Май-19, (41) –1 // какой был 100 лет назад, такой и остался, пусть таким и остается, Sw00p aka Jerom (?), 17:47 , 29-Май-19, (46) –1 // кое-что все же успели испортить за последние пять - в погоне за косплеем доскера, пох. (?), 17:55 , 29-Май-19, (48) // vnet что-ли На 11 2 все ещё кидал систему в панику если в разных клетках свой p, abi (?), 20:21 , 29-Май-19, (75) в клетках пф о Боже, Sw00p aka Jerom (?), 21:58 , 29-Май-19, (83) ну а зачем вообще тебе vnet с разделяемой физической сетевухой и так все работа, пох. (?), 22:08 , 29-Май-19, (89) алиасов хватает , Sw00p aka Jerom (?), 00:19 , 30-Май-19, (94) Алиасы не нужны vhid практичней , Аноним (114), 13:33 , 30-Май-19, (119) так это и есть разделение физической сетевухи - хошь алиасами, а не хошь просто , пох. (?), 17:44 , 30-Май-19, (136) а зачем тогда pf тянуть в джейл , Sw00p aka Jerom (?), 17:56 , 30-Май-19, (140) в смысле Это способы его туда не тянуть А pf в jail можно хотеть тянуть по милл, пох. (?), 18:23 , 30-Май-19, (143) +1 О да Сорян за лёгкий некропостинг, но да, это прекрасно Ты закоммитишь - и т, Дон Ягон (ok), 01:14 , 04-Июн-19, (163) +1 Для всех в этом чатике изоляция бывает только аппаратная И то там работает соци, Аноним (55), 18:14 , 29-Май-19, (54) // Ещё дыры в интеловских процах там ничего так работают , Онаним (?), 19:45 , 29-Май-19, (66) –1 Эту вашу аппаратную изоляцию ломают чаще чем в докере дыры находят При этом её , Анонимус2 (?), 19:46 , 29-Май-19, (67) // Это изоляция , она такая же наша как и твоя И почему изоляцию ломают, а дыры , Аноним (114), 13:36 , 30-Май-19, (120) // Вот тут ты очень смешно протролил Надо запомнить Буду теперь всем DevOps ам го, zurapa (ok), 12:03 , 31-Май-19, (160) И хорошо работает Аппаратная изоляция - это программная, реализованная на уровн, Аноним (-), 21:05 , 29-Май-19, (82) Вспомнил забавный киноляп из недавнего фильма, как чел, кажется раз 7 сбегал из , Аноним (63), 19:20 , 29-Май-19, (63) // Был такой Тони Ролт Прославился еще как гонщик и тем, что для последнего побе, Аноним84701 (ok), 20:48 , 29-Май-19, (76) +2 Почему баг обработки симлинков исправляется приостановкой контейнера , sleeply4cat (ok), 19:48 , 29-Май-19, (68) // потому что твой супер контейнер должен быть stateless, и их должно быть два мини, вИКТОР АГН (?), 20:06 , 29-Май-19, (71) –2 потому что макака по другому просто не умеет Контейнер стопнула - опа, вот и ra, пох. (?), 20:17 , 29-Май-19, (74) –1 Девопсненько так В lxc проблемы нет, но девопсяры же в неё не умеют, им решеток, mumu (ok), 20:49 , 29-Май-19, (77) +4 // lxc очень сложно, нужно проходить курсы для запуска hello world, Анонимный эксперт (?), 20:52 , 29-Май-19, (78) +3 // lxc еще и очень криво, неудачный косплей виртуальной машины К ней бы runc от cle, пох. (?), 22:11 , 29-Май-19, (90) В podman тоже нет проблемы, но во многом аналогичен докеру по использованию Да , Аноним (-), 21:00 , 29-Май-19, (80) –2 // https github com rgroux exemples wiki Howto -LXC---container-without-root-priv, Аноним (108), 11:41 , 30-Май-19, (108) +1 Вообще этих контейнеров вагон и маленький вагон, но бабки нашептали только три б, Аноним (-), 21:01 , 29-Май-19, (81) // Вопрос в том, как много из них прошли аудит безопасности и стали готовы для прод, mumu (ok), 10:05 , 30-Май-19, (105) // лолшта Конечно ноль ВСЕ каравай-каравай, каку хочешь Выбирай , пох. (?), 16:14 , 30-Май-19, (134) Только то что запускают в реальной VM, как например VMware Photon , Анонимный эксперт (?), 04:30 , 31-Май-19, (149) ты еще скажи, что она проходила какой-то там аудит или что секретная технологи, пох. (?), 07:19 , 31-Май-19, (152) В systemd-nspawn тоже проблемы нет , Gannet (ok), 23:27 , 29-Май-19, (93) –1 Ну что, сколько уже смузихлебов выбралось из своего картонного контейнера Уже е, Погонщик (?), 01:05 , 30-Май-19, (95) ШОК, СЕНСАЦИЯ Найдена уязвимость во всех ОС Если иметь права root админа, то, Аноним (96), 02:23 , 30-Май-19, (96) +1 // А можно поподробнее Хочу УБИТЬ СИСТЕМУ , Аноним (100), 03:26 , 30-Май-19, (100) // Имей систему - переходи на красный , Пишу из ванны (?), 08:57 , 30-Май-19, (104) –1 Можно killall systemДерзай , Аноним (114), 13:38 , 30-Май-19, (121) // killall system , анонн (?), 14:14 , 30-Май-19, (124) Если на каждый шмокер приходится ровно по одному хосту, то не страшно конечно Н, mumu (ok), 10:06 , 30-Май-19, (106) // для деплоя же ж но так красиво получается только первые три дня - а дальше кон, пох. (?), 12:05 , 30-Май-19, (109) Убедить Да сейчас каждая вторая приблуда - нет времени объяснять, качай docker, Аноним (161), 18:20 , 01-Июн-19, (161) Используйте для изоляции харденед chroot от grsecurity net, Anonim (??), 10:12 , 10-Июн-19, (164) 1,4,7,12,15,16,20,21,25,31,38,41,54,63,68,77,95,96,161,164

Сообщения

[Сортировка по времени | RSS]

1. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+19 +/–
Сообщение от Аноним (1), 29-Май-19, 13:22
Ждем комментаторов с искрометными шутками про "девляпсов" и "контейнеры нинужны".
Ответить | Правка | Наверх | Cообщить модератору

	2. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+10 +/–
	Сообщение от КэГэБэ эСэСэСэР (?), 29-Май-19, 13:25
	Контейнеры нинужны, у меня на Windows 10 ничего не изолировано и работает.
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+8 +/–
	Сообщение от Аноним (42), 29-Май-19, 16:54
	И тебе нечего скрывать.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–2 +/–
	Сообщение от VINRARUS (ok), 29-Май-19, 18:32
	> у меня на Windows 10 ничего не изолировано Ничего кроме тебя самого.
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	3. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Andrey Mitrofanov_N0 (?), 29-Май-19, 13:26
	> Ждем комментаторов с искрометными шутками про "девляпсов" и "контейнеры нинужны". "" Дыркер -- он про сак-сцесс и искромётные комментарии! "" ++https://www.opennet.ru/openforum/vsluhforumID3/117218.html#41
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	64. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от Аноним (64), 29-Май-19, 19:35
	"" поставил тебе [-] "" ///"" -- первый -- безумный!  -- Текст. "" ///второй безумный "Текст" -- ${вставить_еще_один_безумный_текст} <///> (с)
	Ответить | Правка | Наверх | Cообщить модератору

	137. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Васян (?), 30-Май-19, 17:47
	Митрофаныч, у тебя учетку на опеннетике угнали что ли?
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	138. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от Васян (?), 30-Май-19, 17:49
	Граждане, это поддельный Митрофанушко!
	Ответить | Правка | Наверх | Cообщить модератору

	5. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+5 +/–
	Сообщение от Аноним (5), 29-Май-19, 13:30
	Почему это не нужны? Это хорошый способ предотвратить возможность какому-нибудь софтверному каловому монстру засрать твою систему кривыми либами зависимостей. А те кто пытается использовать решения, изначально не разрабатывавшиеся безопасными, для изоляции - сами себе злобные буратина.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	40. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+3 +/–
	Сообщение от Аноним (40), 29-Май-19, 16:37
	>Это хорошый способ предотвратить возможность какому-нибудь софтверному каловому монстру засрать твою систему кривыми либами зависимостей. Этот кейс требует изоляции только на уровне файловой системы, что легко решается более легковесными средствами, чем контейнеры (если, конечно, софт скачивается из доверенного источника, однако новости показывают, что качать докер-образы откуда попало так себе идея - возможность эксплуатации уязвимостей в докере, пустые рутовые пароли, древние либы с уязвимостями внутри контейнера, и т.д.) Вот если для запуска дерьмодемона нужна еще какая-то нетривиальная настройка системы, тогда без контейнера не обойтись.
	Ответить | Правка | Наверх | Cообщить модератору

	57. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от freehck (ok), 29-Май-19, 18:31
	> Этот кейс требует изоляции только на уровне файловой системы, что легко решается более легковесными средствами, чем контейнеры Да, но инфраструктура более легковесных в плане ресурсов решений оказывается более тяжеловесной в использовании. У докера, вон, большое сообщество, есть готовые базовые имиджи чуть ли не для всего на свете. А в случае schroot, например, мне надо дебутстрапить предварительно окружения самостоятельно, и это не делается одной командой, увы. С учётом того, что продакшен нынче пошёл активно в контейнерах существовать, использовать докер для подобной изоляции становится более простым и удобным решением: всегда легче заюзать инструмент, который используешь на постоянной основе. И это хорошо и правильно.
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Anonymoustus (ok), 29-Май-19, 19:03
	Вопрос лишь о том, зачем под доскер подстилать большую юникс-подобную систему, причём искорёженную и переломанную ради этого самого доскера до полной потери черт юникса. Не проще ли было написать специальные мелкие пускали для доскера, не портя линукс и целую прорву ГНУтого софта? Более того — а не лучше ли было для задач, которые суют в доскер, писать отдельные специальные маленькие системки для виртуальных машин? И не ломать, опять же, линукс и целую кучу ГНУтого софта.
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–2 +/–
	Сообщение от freehck (ok), 29-Май-19, 19:53
	> Вопрос лишь о том, зачем под доскер подстилать большую юникс-подобную систему, причём > искорёженную и переломанную ради этого самого доскера до полной потери черт > юникса. Анонимаустус, а каким боком и что именно докер сломал-то? =/
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от Anonymoustus (ok), 29-Май-19, 20:12
	Не доскер сломал, а те, кто из линукса делают корпоративную пускалку для доскеров-шмоскеров.
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–4 +/–
	Сообщение от IRASoldier_registered (ok), 30-Май-19, 02:34
	> не портя линукс и целую прорву ГНУтого софта > корпоративную пускалку Никсы нужны для того, чтобы ими пользоваться, причём - как _угодно_, так и пользоваться, в т.ч. и для корпоративных задач. А не для того, чтобы молиться на ГНУ.
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Anonymoustus (ok), 30-Май-19, 07:17
	>> не портя линукс и целую прорву ГНУтого софта >> корпоративную пускалку > Никсы нужны для того, чтобы ими пользоваться, причём - как _угодно_, так > и пользоваться, в т.ч. и для корпоративных задач. А не для > того, чтобы молиться на ГНУ. Здесь у нас, похоже, ещё один опоздавший родиться, не читавший ни Реймонда, ни Кернигана, ни других старейшин, причастных к Юниксу, и, следовательно, не понявший, что такое Юникс и в чём его _главное_ предназначение. Такие вот специалисты и превратили линукс в «ваш новый стандарт», залитый свержу системдой полужидкой консистенции.
	Ответить | Правка | Наверх | Cообщить модератору

	114. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–2 +/–
	Сообщение от Аноним (114), 30-Май-19, 13:25
	Ой, а в чём, расскажИте? А то вы может тоже похоже не читали.
	Ответить | Правка | Наверх | Cообщить модератору

	116. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Anonymoustus (ok), 30-Май-19, 13:28
	Эти ссылки не для тебя, невежливый аноним, ты всё равно читать не будешь. Это для редких на опеннете искренне интересующихся знаниями молодых людей: https://www.opennet.ru/openforum/vsluhforumID3/117471.html#58 https://www.opennet.ru/openforum/vsluhforumID3/117471.html#59
	Ответить | Правка | Наверх | Cообщить модератору

	154. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Andrey Mitrofanov_N0 (?), 31-Май-19, 08:49
	> Эти ссылки не для тебя, невежливый аноним, ты всё равно читать не > будешь. Это для редких на опеннете искренне интересующихся знаниями молодых людей: > https://www.opennet.ru/openforum/vsluhforumID3/117471.html#58 > https://www.opennet.ru/openforum/vsluhforumID3/117471.html#59 Про macOS и "Все те маленькие (sh, awk, sed, vi/vim и пр.) и не очень маленькие (Perl, Python, GCC, Emacs) средства" в нём -- сильно.  Отдел Эппле горлится тобой.  И не один!
	Ответить | Правка | Наверх | Cообщить модератору

	155. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Anonymoustus (ok), 31-Май-19, 09:03
	https://www.opengroup.org/openbrand/register Если бы ты пользовался Маком, ты бы знал, почему именно его, а не линукс, предпочитают большинство разработчиков для линукса по всему миру. Удивительное рядом, Андрюша, ты просто не стесняйся замечать.
	Ответить | Правка | Наверх | Cообщить модератору

	141. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–3 +/–
	Сообщение от IRASoldier_registered (ok), 30-Май-19, 18:09
	...И не для того, чтобы молиться на священные книги предков и основателей. Предназначение операционной системы в том, в чём его видит пользователь операционной системы. Такие вот знатоки и пытаются сделать из практической полезняшки религию. >линукс в «ваш новый стандарт», залитый свержу системдой полужидкой консистенции А, ты нашёл Фатальный Недостаток? Иди и пили свой собственный тру-Юникс, IDE, сборочную машину и запускалку С-программ. Выкладывай на гитхаб, гитлаб или куда-нибудь ещё. Люди посмотрят, потыкают палочкой.
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

	144. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Anonymoustus (ok), 30-Май-19, 18:28
	> ...И не для того, чтобы молиться на священные книги предков и основателей. > Предназначение операционной системы в том, в чём его видит пользователь операционной > системы. > Такие вот знатоки и пытаются сделать из практической полезняшки религию. Ты книжки почитай по моим ссылкам, проникнись, _пойми_ наконец, _что такое_ Юникс и для чего он вообще был _таким_ создан — тогда возвращайся и продолжим дискуссию. Пока что на твоём нынешнем уровне ты пытаешься заколачивать гвозди микроскопом, то есть из совершенной системы сделать пускалку для тупых доскеров или десктопов. А если бы ты понимал философию Юникса, то тебя бы от этого извращения коробило. >>линукс в «ваш новый стандарт», залитый свержу системдой полужидкой консистенции > А, ты нашёл Фатальный Недостаток? Иди и пили свой собственный тру-Юникс, IDE, > сборочную машину и запускалку С-программ. Выкладывай на гитхаб, гитлаб или куда-нибудь > ещё. Люди посмотрят, потыкают палочкой. Нет, я просто знаю, чем закончили свой путь другие юникс-подобные системы, в которые вкорячили «системный менеджер». Корпорастам и любителям доскеров невдомёк, что если портить и ломать такую систему, то однажды она таки сломается и закончится, под неё перестанут писать программы, её не будут больше использовать, поскольку ценностью любого юникса является именно то, что он юникс. Это непреходящая и самодостаточная ценность, совершенная концепция и философия ОС и её средств. Лучше бы вы FrеeDOS какой-нибудь для своих фантазий приспособили.
	Ответить | Правка | Наверх | Cообщить модератору

	145. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–2 +/–
	Сообщение от IRASoldier_registered (ok), 30-Май-19, 20:10
	>книжки почитай >тогда возвращайся и продолжим дискуссию >то тебя бы от этого извращения коробило >из совершенной системы сделать Книжки-то интересные. И читанные. Но _дискуссия_ не имеет никакого реального смысла. Потому что все эти твои стенания про "извращения" - это архитектурная вкусовщина. Систему МОЖНО использовать как пускалку для десктопов и докеров? Можно. Точка. Дискутировать можно по ДРУГОМУ вопросу - насколько ЭФФЕКТИВНО решение по использованию этой системы для запуска десктопов и докеров. Эффективно для наилучшего функционирования этих самых десктопов и докеров, разумеется. И, кстати, раз система совершенная - это подразумевает её универсальность, как одну из составляющих совершенности или нет? Если подразумевает - то не удивительно её широкое использование для РАЗНЫХ задач, а не сеансы фапания на её совершенство. Так что возьми себя в руки, уймись и не забудь принять таблетки. >FrеeDOS какой-нибудь для своих фантазий приспособили DOS -> ... -> Windows. Тоже нормальный вариант для десктопа. Если религия позволяет.
	Ответить | Правка | Наверх | Cообщить модератору

	153. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Andrey Mitrofanov_N0 (?), 31-Май-19, 08:41
	> Здесь у нас, похоже, ещё один опоздавший родиться, не читавший ни Реймонда, > ни Кернигана, ни других старейшин, причастных к Юниксу, и, следовательно, не > понявший, что такое Юникс и в чём его _главное_ предназначение. "Главное" было в рисёрче на авось продажникам AT&T прокатит. Чего бы там академия с примкнувшим к ним реймондом ни говорили. > Такие вот специалисты и превратили линукс в «ваш новый стандарт», залитый свержу > системдой полужидкой консистенции. Да, названия ярлычков и корпораций поменялись с тех пор. В маркетинге и манипуляциях толпой они поднаторели.  Всё во славу Тельца.
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

	156. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Anonymoustus (ok), 31-Май-19, 09:12
	>> Здесь у нас, похоже, ещё один опоздавший родиться, не читавший ни Реймонда, >> ни Кернигана, ни других старейшин, причастных к Юниксу, и, следовательно, не >> понявший, что такое Юникс и в чём его _главное_ предназначение. > "Главное" было в рисёрче на авось продажникам AT&T прокатит. > Чего бы там академия с примкнувшим к ним реймондом ни говорили. Юникс изначально делали не для продажи (для продажи там были другие товары и услуги), а для себя. Именно по этой причине он таким спроектирован — как IDE и ОС «два-в-одном». В те годы даже самой идеи такой не было — продавать софт. Читайте правильные книжки, товарищи. >> Такие вот специалисты и превратили линукс в «ваш новый стандарт», залитый свержу >> системдой полужидкой консистенции. > Да, названия ярлычков и корпораций поменялись с тех пор. > В маркетинге и манипуляциях толпой они поднаторели.  Всё во славу Тельца. Что говорить, если сам Столлман и его гоп-компания столько лет за мзду малую умышленно не разрабатывают ядро собственной ГНУ-системы. Корифеи.
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от анонн (?), 30-Май-19, 13:28
	> Никсы нужны для того, чтобы ими пользоваться, причём - как _угодно_, так > и пользоваться, в т.ч. и для корпоративных задач. И где теперь все те никсы "для корпоративных задач" которыми пользовались? (Гусары, молчать!)
	Ответить | Правка | К родителю #98 | Наверх | Cообщить модератору

	139. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от IRASoldier_registered (ok), 30-Май-19, 17:55
	> И где теперь все те никсы "для корпоративных задач" которыми пользовались? (Гусары, > молчать!) Самые распространенные в этом сегменте дистрибутивы линуксов / бсд - ну да ты ж и сам можешь названия поискать - вот прямо на этом сайте.
	Ответить | Правка | Наверх | Cообщить модератору

	142. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от анонн (?), 30-Май-19, 18:11
	>> И где теперь все те никсы "для корпоративных задач" которыми пользовались? (Гусары, >> молчать!) > Самые распространенные в этом сегменте дистрибутивы линуксов И это отвечает на какой вопрос? Помимо того, что если даже забыть о "Linux is not Unix", то все равно - "дистрибутивы линуксов" это не "никсы", а один "никс", но в разных обертках. И речь шла как бы о > не ломать, опять же, линукс и ваш же ответ > Никсы нужны для того, чтобы ими пользоваться, причём - как _угодно_, так и пользоваться, в т.ч. и для корпоративных задач. А "все те никсы для корпоративных задач" - это про HP-UX, SunOS, Xenix, Irix. Ими пользовались "для корпоративных задач", да. Интересно, где они теперь и не повторится ли та же история (тем более, то же System V было пропихнуто в качестве нового стандарта то ли перед, то ли во время Unix Wars - ничего не напоминает?)
	Ответить | Правка | Наверх | Cообщить модератору

	146. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от IRASoldier_registered (ok), 30-Май-19, 20:29
	>"Linux is not Unix" (...) один "никс", но в разных обертках Какой-то уход разговора в сторону и кашеобразие. С чего началось? Началось с того, что тут товарища бомбит от того, что б-жественный Юникс используют типа неправильно и б-гохульно. >это про HP-UX, SunOS, Xenix, Irix >и не повторится ли та же история В корпоративном сегменте вовсю используют, OMG, Убунточку. И имеют с того ништяки и профит. Так что о чём ты? А то, что история юниксофорков древовидна и находится в динамике, где какие-то ветви растут и делятся, а какие-то отмирают - ну так это Кэп. Это ни плохо, ни хорошо. It's life.
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–2 +/–
	Сообщение от Anonymouss (?), 29-Май-19, 20:53
	Сделали уже. Маленькая пускалка для docker https://rancher.com/rancher-os/
	Ответить | Правка | К родителю #60 | Наверх | Cообщить модератору

	103. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Аноним (103), 30-Май-19, 08:29
	>Да, но инфраструктура более легковесных в плане ресурсов решений оказывается более тяжеловесной в использовании. У докера, вон, большое сообщество, есть готовые базовые имиджи чуть ли не для всего на свете. А в случае schroot, например, мне надо дебутстрапить предварительно окружения самостоятельно, и это не делается одной командой, увы. Потому что это не правильный подход. Надо не систему бутстрапить, а сбандлить с приложением либы, которое оно использует, с помощью инструментов вроде linuxdeploy
	Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

	56. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от freehck (ok), 29-Май-19, 18:28
	> Почему это не нужны? Это хорошый способ предотвратить возможность какому-нибудь софтверному каловому монстру засрать твою систему кривыми либами зависимостей. Плюсую. А ещё деплой удобнее в разы становится.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	72. Скрыто модератором	+1 +/–
	Сообщение от пох. (?), 29-Май-19, 20:11
	деплой мусорных монстров "мы скачали пол-интернета себе в хомяк и еще вон там и вон там нагадили ошметками" - становится. Деплой нормального софта - не становится, он и так удобный - zypper up -y, и всех дел. но нормальный софт уже десять лет как немоден в новых-стандартах.
	Ответить | Правка | Наверх | Cообщить модератору

	86. Скрыто модератором	+/–
	Сообщение от хотел спросить (?), 29-Май-19, 22:05
	я лучше виртуалку накачу
	Ответить | Правка | Наверх | Cообщить модератору

	91. Скрыто модератором	+/–
	Сообщение от пох. (?), 29-Май-19, 22:13
	> я лучше виртуалку накачу с виртуалкой - попадос, это полноценный сервер - добро пожаловать в мир регулярных апдейтов, бэкапов, автоматизации управления и т д (можно использовать ее и в режиме контейнера, но готовых рецептов для этой цели нет, все придется выстрогать самому из полена - вот прямо начиная с докерных volumes)
	Ответить | Правка | Наверх | Cообщить модератору

	97. Скрыто модератором	–2 +/–
	Сообщение от хотел спросить (?), 30-Май-19, 02:28
	>> я лучше виртуалку накачу > с виртуалкой - попадос, это полноценный сервер - добро пожаловать в мир > регулярных апдейтов, бэкапов, автоматизации управления и т д (можно использовать ее > и в режиме контейнера, но готовых рецептов для этой цели нет, > все придется выстрогать самому из полена - вот прямо начиная с > докерных volumes) а в контенерах что по-другому? или на виртуалках снапшотов нет?
	Ответить | Правка | Наверх | Cообщить модератору

	122. Скрыто модератором	+/–
	Сообщение от пох. (?), 30-Май-19, 13:54
	>>> я лучше виртуалку накачу >> с виртуалкой - попадос, это полноценный сервер - добро пожаловать в мир >> регулярных апдейтов, бэкапов, автоматизации управления и т д (можно использовать ее > а в контенерах что по-другому? или на виртуалках снапшотов нет? в контейнере у тебя (если все сделал по методичке и каким-то чудом это получилось) - ровно одна программа крутится, без всей остальной операционной системы - от той только дерево fs - да, в нем могут быть какие-нибудь чудеса, но ту программу они скорее всего не затрагивают. И (опять же если получилось,а не как в описываемом эксплойте) он по сути неперсистентный - при рестарте той программы весь контейнер пересоздается из образа заново. А апдейтится/бэкапается и обслуживается у тебя - хост. Причем с хостовой точки зрения - это просто еще один процесс, с какими-то заморочками.
	Ответить | Правка | Наверх | Cообщить модератору

	147. Скрыто модератором	–2 +/–
	Сообщение от хотел спросить (?), 30-Май-19, 21:54
	> А апдейтится/бэкапается и обслуживается у тебя - хост. А контейнер? Тот самый рантайм на котором крутится мое приложение? Кто его будет обновлять? Обновление виртуалки заменяется обновлением образа? Чем тогда лучше 1 хост + 10 контейнеров вместо 1 хост + 10 виртуалок? Как по мне те же яйца в профиль, но только без нюансов вида: "сли все сделал по методичке и каким-то чудом это получилось" Разве не так?
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+3 +/–
	Сообщение от Аноним (8), 29-Май-19, 13:49
	Если писать код абсолютно правильно, то контейнеры не особо то и нужны. Но с ними проще, на многое можно забить.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	10. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от kai3341 (ok), 29-Май-19, 14:07
	>  Если писать код абсолютно правильно, то контейнеры не особо то и нужны. Но с ними проще, на многое можно забить. > абсолютно максималист детектед. Возвращайся в мир собственных фантазий
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от Аноним (40), 29-Май-19, 16:27
	>Если писать код абсолютно правильно, то контейнеры не особо то и нужны. Контейнеры были придуманы для разделения ресурсов между сервисами, выполняющимися в облачной инфраструктуре. И в этой нише конкуренция идет в основном между различными типами этих самых контейнеров, так как виртуализация всегда имеет больше накладных расходов. А то, что некоторые макаки забивают гвозди микроскопами - это как бы совсем не означает, что микроскопы не нужны и их легко заменить молотками.
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

	87. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+3 +/–
	Сообщение от пох. (?), 29-Май-19, 22:06
	> Контейнеры были придуманы для разделения ресурсов между сервисами, выполняющимися в облачной да ну нах? Я-то думал для разделения ресурсов были придуманы многозадачные операционные системы, где-то лет пятьдесят назад (и да, они умели э...как это..."облачную инфраструктуру". В смысле, можно было собрать "кластер" из двух EC1045) > инфраструктуре. И в этой нише конкуренция идет в основном между различными > типами этих самых контейнеров, так как виртуализация всегда имеет больше накладных серьезно? Вы где видите в продакшн какие-то еще "контейнеры"? Вообще контейнеры, я уж не уточняю "отличные от доскера", а не впопенштифт поверх къебенетеса. виртуализация имеет помимо накладных расходов (которые хрен померяешь на фоне накладных расходов, ну,например, операционной системы с доскером в доскере в доскере - кто менял производительность прекрасной overlayfs, ась?) определенные бонусы - например, таки обеспечивая относительно надежную изоляцию - дальше poc эксплойты пока не продвинулись. > расходов. А то, что некоторые макаки забивают гвозди микроскопами - это это неизбежно следствие массового выпуска микроскопов без линз, с большой деревянной ручкой и металлической херней на конце. Для изучения микромира непригодных в принципе. Гвозди тоже хреново забивают, тут согласен.
	Ответить | Правка | Наверх | Cообщить модератору

	135. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от SysA (?), 30-Май-19, 17:27
	systemd-nspawn
	Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

	59. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–3 +/–
	Сообщение от лютый жабист__ (?), 29-Май-19, 18:44
	>Если писать код абсолютно правильно, то контейнеры не особо то и нужны Если использовать java EE, то доцкер не нужен. Может есть и другие вменяемые платформы, хз.
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

	123. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от пох. (?), 30-Май-19, 14:09
	>>Если писать код абсолютно правильно, то контейнеры не особо то и нужны > Если использовать java EE, то доцкер не нужен. угу, вместо сравнительно дешевого девляпса надо кормить наглого и распухшего от собственной важности жабиста. Иначе в любой момент можно получить в морду бэктрейсом, и ни одна живая душа на свете не сможет объяснить, чего тут сломалось и чего этой уродине надо. > Может есть и другие вменяемые платформы, хз. есть, но жабка в их список не входит. P.S. утром рассыпался filr - да-да, все как ты любишь, томкэт, жабка-ээ, поиски по всему диску кривыми башевскими скриптами запчастей и жалобы что нашла не то не так и не там вместо нормальных логов. Повезло - "починил" вручную запустив сдохший сервис. Почему он не загружался автоматически - жабист его знает.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от Fyjybv755 (?), 29-Май-19, 15:22
	> Ждем комментаторов с искрометными шутками про "девляпсов" и "контейнеры нинужны". У "девляпсов" копирование файлов в контейнер (точнее, образ) выполняется только при docker build, когда контейнер, внезапно, не выполняется. Для всего остального есть volumes. Менять что-то в контейнере вручную - крайне бессмысленная задача, так они обычно создаются и уничтожаются автоматически при деплое.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	33. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–2 +/–
	Сообщение от пох. (?), 29-Май-19, 16:07
	> Для всего остального есть volumes. объявленные (те что персистентны, а не каждый раз вручную) deprecated пять лет назад и с тех пор по этому поводу толком не поддерживаемые (оставляют неудобообнаруживаемый и неудобоудаляемый мусор в системе, не видны обычными инструментами если не знать и не спросить специально)? Отличное решение, так держать. Ну и вот ни разу не поверю, что копирование файлов ИЗ контейнера - никогда-никогда не случается у девляпсов. А баг, как я понимаю, эксплойтится и этим способом замечательно.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Анониим (?), 29-Май-19, 17:00
	> deprecated И чем заменять предлагают?
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от пох. (?), 29-Май-19, 17:58
	> И чем заменять предлагают? как обычно, ничем - "как, вы не слышали? в какой криокамере вы спали? standalone docker давно уже ж немодно, все на k8s, бегом, бегом, некогда разбираться, ляпай давай!" его, разумеется, тоже будет некогда доделывать - "все бегом в впопенштифт, управлять кластером руками ересь и предрассудки!"
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+2 +/–
	Сообщение от Аноним (53), 29-Май-19, 18:13
	в k8s все тем более через volume-ы делается
	Ответить | Правка | Наверх | Cообщить модератору

	112. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 12:41
	Судя по его комментам в этом обсуждении, докер он видел только на картин^Wвинде, а про кубер и сварм вообще только слышал.
	Ответить | Правка | Наверх | Cообщить модератору

	125. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 30-Май-19, 14:16
	> Судя по его комментам в этом обсуждении, докер он видел только на > картин^Wвинде, а про кубер и сварм вообще только слышал. ваш сварм - такое же устаревшее ненужно, уже выкинутое ляпателями доскера в помойку, не доделывать же его, в самом-то деле? Работает оно примерно вот так: https://github.com/docker/docker-credential-helpers/issues/103 (да, проблема не в непосредственно его коде, но она, как видим, вылезла на куче систем и у кучи людей - просто потому что ляпалки не умеют тестировать прежде чем пихать что попало в зависимости) и  ничего, пол-года никого не беспокоило - а чо, подумаешь, билд ломается, pull-то не ломается, зачем что собирать, вон тащи с хаба, уже за тебя собрали как попало что попало! А новые-модные пацанчики им не пользуются - устаревшая негодная технология, не иначе. P.S. отдельно доставил девляпский способ "решения" проблемы - тоже, судя по комментом, радостно подхваченный миллионами мух. Не буду объяснять что с ним не так, вам не надо лишних знаний.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от sailorCat (?), 29-Май-19, 17:37
	> у и вот ни разу не поверю, что копирование файлов ИЗ контейнера - никогда-никогда не случается у девляпсов. Осталось найти девопса и убедить его сто раз скачать файл из работающего контейнера. Если повезёт, этого хватит, чтобы сработала уязвимость.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	50. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 29-Май-19, 18:00
	ну нет, зачем же так - надо найти девопса с десятью тысячами контейнеров, и как-то развести на нужный и полезный файл где-то в одном из. Вероятность попадания резко увеличивается.
	Ответить | Правка | Наверх | Cообщить модератору

	111. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 12:39
	Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации и чуть что - сам лезет чинить. Десять тысяч раз в день, ага. Ну и бред вы несете. На практике, если с каким-то контейнером проблема - его проще редеплойнуть, чем ковыряться в его потрохах и выяснять, кто там pid-файл забыл убрать.
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Аноним (114), 30-Май-19, 13:31
	> Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации и чуть что - сам лезет чинить. Зачем ты приписываешь свои слова другим? > проще редеплойнуть, чем ковыряться На практике проще. Но не правильней. Потому, что если всё делать как проще, то получится: > Ну и бред вы несете.
	Ответить | Правка | Наверх | Cообщить модератору

	126. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 30-Май-19, 14:22
	> Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации ну нет, зачем же - он как раз автоматически наш эксплойт и запустит, вручную-то хрен разведешь на такую тяжкую работу. Возможно даже и не зная о том - мало ли кто и когда чего заавтоматизировал еще до него - разбираться некогда, давай еще сорок подов поднимай. > На практике, если с каким-то контейнером проблема - его проще редеплойнуть, чем а оно вот, опять. И еще в пятистах, и число их растет. Не, не будем ковыряться, какая нам разница что там не работает - проще редеплойнуть, ага? А потом прод лежит, потому что число "не совсем так работающих" превысило запас прочности системы, и они продолжают валиться. Мы за это (в смысле - перезапуск автоматикой без попыток разобраться, что именно в этом инстансе пошло не так), кстати, дежурную смену штрафовали, именно по этой причине. Надеюсь, они все уже развились в девопсов, а самые умные - сменили профессию.
	Ответить | Правка | К родителю #111 | Наверх | Cообщить модератору

	128. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 15:52
	> ну нет, зачем же - он как раз автоматически наш эксплойт и запустит docker cp? Нет, не запустит. В процессе продового деплоя отладочным операциям не место. > Не, не будем ковыряться, какая нам разница что там не работает - проще редеплойнуть, ага? Для ветеран-админов из девяностых, у которых одновременно в ведении было максимум десяток демонов, сложно понять, как можно работать с десятком тысяч контейнеров. Вы все время проецируете SOHO-методы - вручную чинить каждый сбой каждого приложения. Действительно, зачем нужны системы мониторинга и коллекторы ошибок - админ сам зайдет, посмотрит и починит, лично, на всех ста серваках одновременно, ага.
	Ответить | Правка | Наверх | Cообщить модератору

	132. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 30-Май-19, 16:08
	> docker cp? Нет, не запустит. В процессе продового деплоя отладочным операциям не > место. ага, перезапускать до посинения прода, после - обновить резюме. >> Не, не будем ковыряться, какая нам разница что там не работает - проще редеплойнуть, ага? > Для ветеран-админов из девяностых, у которых одновременно в ведении было максимум десяток > демонов, сложно понять, как можно работать с десятком тысяч контейнеров. Вы так же, как мы работали с тысячей-другой физических хостов без всяких контейнеров - ничего ужасного в этом нет. > все время проецируете SOHO-методы - вручную чинить каждый сбой каждого приложения. это как раз промышленные методы - _сбоям_, а не отладке,  на проде не место. Как и лечению перезапуском. Если нельзя откатиться на заведомо исправную версию - да, идешь и разбираешься, что сломалось. Если делаешь это вручную - достаточно одного инстанса каждого типа, затронутого ошибкой. Ну а если все переавтоматизировал так, что ручного доступа вообще нет - получай в свой канализационный коллектор терабайт ненужного мусора и ищи там, как хочешь. хотя да, зачем - надо просто перезапустить, потом еще два раза перезапустить, потом обновить резюме и еще раз перезапустить. В резюме, разумеется, не забыть упомянуть опыт обслуживания продакшн-систем с миллионом инстансов.
	Ответить | Правка | Наверх | Cообщить модератору

	65. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от Анонимус2 (?), 29-Май-19, 19:38
	Где вы такую траву берете? Или вы машину времени украли и пишете из 2030 года?
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	115. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Аноним (114), 30-Май-19, 13:27
	Не машину, а вагон времени. Всё это ваше ГНУ именно про вагон бесплатного чужого времени.
	Ответить | Правка | Наверх | Cообщить модератору

	157. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Andrey Mitrofanov_N0 (?), 31-Май-19, 09:21
	> Не машину, а вагон времени. Всё это ваше ГНУ именно про вагон > бесплатного чужого времени. Сестра, тампоны!  В треде ушибленный ГНУ!1 У тебя ушиб, если ты "девляпсы" выше по треду или "дыркер" из новости "перевёл" на гну. Прикладывай лёд.
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 12:35
	> объявленные (те что персистентны, а не каждый раз вручную) О, сразу видно великого спеца по девляпсам. Контейнеры, значит, вручную создаете. На практике, где-либо, кроме тестового стенда, никто такой фигней не занимаются. Контейнеры со всеми томами, портами и лимитами создаются автоматически системой деплоя, поэтому никаких "вручную" быть не может по определению. Более того, в нормальной инфраструктуре система мониторинга выявляет все созданные и измененные "вручную" контейнеры на продовых серваках и поднимает critical alert.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	127. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 30-Май-19, 14:25
	>> объявленные (те что персистентны, а не каждый раз вручную) > О, сразу видно великого спеца по девляпсам. Контейнеры, значит, вручную создаете. сразу видно великого спеца-девляпса, он даже не понял что речь о персистентных томах, а не контейнерах. > На практике, где-либо, кроме тестового стенда, никто такой фигней не занимаются. Контейнеры > со всеми томами, портами и лимитами создаются автоматически системой деплоя, поэтому поэтому docker cp их незаменимый помощник, когда что-то где-то пойдет не так, ага, ага (ну и наш тоже, если придет в голову их немного поломать). какие еще персистентные тома, они об этом ведь не успели дочитать, а если бы и успели - модная система "орхестрации" все равно не даст.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–2 +/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 16:07
	> сразу видно великого спеца-девляпса, он даже не понял что речь о персистентных томах, а не контейнерах. Нет, я не понял, нафига вообще нужны персистентные тома. Еще раз: список томов в виде пар "каталог хоста"-"каталог контейнера" (+опционально ro) автоматически формируется при создании каждого нового контейнера. Зачем в этой схеме нужен механизм docker persistent volumes? > поэтому docker cp их незаменимый помощник, когда что-то где-то пойдет не так, ага, ага (ну и наш тоже, если придет в голову их немного поломать). Ну удачи залезть на тестовый стенд. Конечно, специально для вас его откроют в мир. Если очень-очень попросить.
	Ответить | Правка | Наверх | Cообщить модератору

	133. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от пох. (?), 30-Май-19, 16:11
	> Нет, я не понял, нафига вообще нужны персистентные тома. Еще раз: список > томов в виде пар "каталог хоста"-"каталог контейнера" (+опционально ro) автоматически > формируется при создании каждого нового контейнера. Зачем в этой схеме нужен в этой-  низачем, поэтому поломано и починено не будет. Как и много чего еще, брошенное недоделанным, потому что стая макак ускакала за новыми, более блестящими погремушками. (тот же swarm, как показала практика)
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+11 +/–
	Сообщение от Канделябры (?), 29-Май-19, 16:02
	> с искрометными шутками Не каждому разработчику удаётся выбраться из контейнера на оплачиваемую работу.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	52. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+2 +/–
	Сообщение от Аноним (52), 29-Май-19, 18:10
	Хьело фрём Индия, дрюгь! Ми написале харёши кёд для твая видиёкартачкя, дрюгь! Тама сто милиёнь строкь! (неразборчиво говорит дальше на хинглише)
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+2 +/–
	Сообщение от Дон Ягон (?), 29-Май-19, 16:17
	> Ждем комментаторов с искрометными шутками про "девляпсов" и "контейнеры нинужны". Жаль, что тебе и подобным не понятно, что это не шутки в целом. Контейнеры сами по себе может и ок концепция, со своей областью применения, но то, как эта концепция реализована в дрокере - это провал. Да и вечнодырявые линуксовые неймспейсы доверия не добавляют.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	101. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от виндотролль (ok), 30-Май-19, 06:44
	какая разница между концепцией контейнеров, ее реализацией в докере и линуксовыми неймспейсами?
	Ответить | Правка | Наверх | Cообщить модератору

	130. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Дон Ягон (?), 30-Май-19, 16:00
	> какая разница между концепцией контейнеров, ее реализацией в докере и линуксовыми неймспейсами? Это, на самом деле, непростой вопрос, на который развёрнуто отвечать можно очень долго и наверняка можно что-то пропустить. Контейнеры в Linux претендуют на то, чтобы быть гибкими до невозможности. Ты можешь запустить приложение только в сетевом или только в PID неймспейсе, например, и, в теории, как угодно хитро управлять наборами неймспейсов для контейнеров. На практике - бесконечные дыры из-за того, что реализация переусложнена во имя той самой гибкости. При этом, необходимость этой гибкости под огромным вопросом. Нужно изолировать приложение? ИЗОЛИРУЙ! Не нужно этих полумер с общими для N контейнеров неймспейсов. Это никогда не будет безопасной конструкцией. В этом плане неплохой пример того, какие контейнеры ОК - старые джейлы во FreeBSD. Гораздо более куцые в плане функционала, но свою задачу - запуск приложений в изолированном контейнере решающими отлично. Сейчас и их слегка переусложнили...
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+2 +/–
	Сообщение от Аноним (55), 29-Май-19, 18:18
	Ты про вебмакак забыл без них никуда.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

	162. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от псевонимус (?), 02-Июн-19, 15:53
	"Контейнеры2 НЕ НУЖНЫ. дЕВЛЯПСЫ И ХИПСТОТА ЗЛО.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема