Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в runc и LXC, затрагивающая Docker и другие систе..., opennews (??), 11-Фев-19, (0) [смотреть все] Давно пора понять, что выполнение чего-либо с правами root в контейнере аналогич, Аноним (3), 00:16 , 12-Фев-19, (3) +1 // This attack is only possible with privileged containers since it requires rootpr, Аноним (5), 00:34 , 12-Фев-19, (5) +4   // а по умолчанию контейнер какой , хотел спросить (?), 01:40 , 12-Фев-19, (8) –1   // Смотря кто запускает Если запускает рут или пользователь, который может писать, виндотролль (ok), 03:03 , 12-Фев-19, (10) +1   совершенно неважно, кто его запускает, лапочка Потому что на самом деле его запу, нах (?), 09:52 , 12-Фев-19, (21) +4   gt оверквотинг удален Т е VPS это полноценная изоляция насколько позволяет Sp, хотел спросить (?), 11:58 , 12-Фев-19, (34) –3   ну как бы побеги из этой изоляции через дырки в виртуальных или паравиртуальных , нах (?), 12:11 , 12-Фев-19, (35) +3   распечатаю и повешу на стену, lurkr (ok), 13:17 , 13-Фев-19, (74) +1   да может кроме опенвзПереносимост По этой же причине не сдохнет и эектрон, псевдонимус (?), 13:02 , 12-Фев-19, (39) –1   Вы где видели официально стабильный Openvz на ядра выше 2 6 32 вот вот тру, Аноним (48), 15:31 , 12-Фев-19, (48) +1   смешно, но его пилили как раз для управления ресурсами в большей степени, чем дл, нах (?), 17:56 , 12-Фев-19, (55) –1   я про это собствено и написа, псевдонимус (?), 19:35 , 12-Фев-19, (57) –1   Потому-что быстрее, памяти жрёт меньше, управление контекстом и нагрузкой предск, RNZ (ok), 09:40 , 13-Фев-19, (70) –3   Еси ты про процессорное ядро то ты не прав , псевдонимус (?), 13:51 , 13-Фев-19, (76) –1   Ещё про пушечное ядро скажи Про kernel речь - https en wikipedia org wiki Ker, RNZ (ok), 22:51 , 13-Фев-19, (87) +2   Тогда верно И это похо, псевдонимус (?), 22:59 , 13-Фев-19, (88)   И как тогда podman без рута работает по-твоему , Owlet (?), 12:49 , 12-Фев-19, (38)   100 Т е докер не запускает pid1 контейнера в неймспейсе с маппингом uid 0 , виндотролль (ok), 21:16 , 12-Фев-19, (61) –1   докер - программа, работающая от рута, причем с максимально широкими правами - в, нах (?), 11:02 , 13-Фев-19, (71) +1   да ладно Даже если в ответ демон делает fork и setuid Даже традиционной сис, виндотролль (ok), 18:52 , 13-Фев-19, (81)   Наверное именно потому везде пихают аппармор и селинукс , Аноним (92), 23:59 , 14-Фев-19, (92)   Вот поэтому и ставят Никогда не знаешь, где найдут очередную уязвимость Удален, виндотролль (ok), 00:51 , 15-Фев-19, (93)   https docs docker com engine security userns-remap вот жеж Немного не так, ка, виндотролль (ok), 21:29 , 12-Фев-19, (62)   Это и ест дыра Незя дават крутится под кем хоче Рут в контейнере не дожен прев, псевдонимус (?), 23:03 , 12-Фев-19, (66)   контейнер для этого неособенно и нужен - достаточно дать права левому юзеру на д, нах (?), 11:05 , 13-Фев-19, (72) +1   Вот и именно Настоящий хостовый рут дожен быт доступен токо админу хоста В , псевдонимус (?), 13:31 , 13-Фев-19, (75)   вот это вы упрямые Рут в контейнере не обязательно равне руту в хосте И если э, виндотролль (ok), 18:54 , 13-Фев-19, (82)   Читайте про user namespace я упомянул Безопасность при user namespace не лучше , Аноним (3), 07:50 , 12-Фев-19, (15) +1   // все таки лучше - в частности, вот от этой конкретной беды уберегло бы то что реа, нах (?), 09:56 , 12-Фев-19, (22)   При этом проблема не проявляется при корректном использованием пространств имён, Аноним (23), 09:58 , 12-Фев-19, (23)   Которые в докере, например, не заюзать нормально из-за кучи ограничений наприме, Аноним (37), 12:48 , 12-Фев-19, (37) +2   а как же volumes - прошлый век, тру девляпс использует ансибль, всегда модифици, нах (?), 17:52 , 12-Фев-19, (54) –3   Можно пример, когда это надо , виндотролль (ok), 21:31 , 12-Фев-19, (63)   Красиво , erthink (ok), 00:25 , 12-Фев-19, (4) +1 Ай молодца Сколько всего сразу повалилось Вот это понимаю unix-way Еще бы хром, 4eburashk (?), 00:42 , 12-Фев-19, (6) –1 // After some discussion with the systemd-nspawn folks, it appears thatthey aren t , Аноним (7), 01:12 , 12-Фев-19, (7) +11 // Wow, первый положительный коммент относительно systemd Сам пользую systemd-конт, Gannet (ok), 03:20 , 12-Фев-19, (11) +2 // Но ведь nspawn - это гораздо удобнее того же LXC , Аноним (13), 07:21 , 12-Фев-19, (13) –2 А микроскоп лучше молотка, ну кто бы спорил Выключите свет они на свет лезут , GentooBoy (ok), 07:40 , 12-Фев-19, (14) –3 из системд к сожалению никто не хочет код копипастить к себе в инит , Аноним (9), 02:20 , 12-Фев-19, (9) Что у вас повалилось Какой вменяемый сидит под рутом, Аноним (12), 03:39 , 12-Фев-19, (12) –4 // Каждый второй хипста с докерком, угу , Онаним (?), 09:29 , 12-Фев-19, (16) +1 // каждый первый, поскольку далеко не все можно запустить с -u, и даже то что в при, нах (?), 09:43 , 12-Фев-19, (19) +3 Вообще контейнеры - это адовый костыль Был таковым, есть, и будет есть , Онаним (?), 09:31 , 12-Фев-19, (17) +4 // Это не костыль Это попытка забивать гвозди микроскопом, а точнее использовать м, Аноним (28), 11:35 , 12-Фев-19, (28) +2 // разделение ресурсов для доверенных приложений неплохо обеспечивает операционная , нах (?), 11:54 , 12-Фев-19, (33) +5 // Хорошо изложил , Клыкастый (ok), 14:06 , 12-Фев-19, (43) Вооот Их создаваи дя руёжки ресурсами а не дя безопасности в отичие от тех же бс, псевдонимус (?), 13:15 , 12-Фев-19, (40) –2 На Убунте lxc запрягают через lxd, и, типа, пофик на эту дыру Не У меня runc в, via (??), 09:45 , 12-Фев-19, (20) –1 // тебе - пофиг, никому твоя васян-локалхостовая поделка не нужнаА дыра в lxc точно, нах (?), 10:04 , 12-Фев-19, (25) –1 // дыра то в runc , via (??), 11:18 , 12-Фев-19, (26) // нет, в liblxc точно такая же , нах (?), 11:43 , 12-Фев-19, (29) https people canonical com ubuntu-security cve 2019 CVE-2019-5736 htmlЗадевае, via (??), 13:16 , 12-Фев-19, (41) ну конечно, кто ж у нас эксперты чье мнение по всем вопросам самое главное - пип, нах (?), 17:50 , 12-Фев-19, (53) –1 Но ведь они абсолютно правы Контейнеры - это способ разделения ресурсов а не сп, Аноним (28), 11:28 , 12-Фев-19, (27) // s for security, да Правда, как раз lxc-то принципиально позиционировалась как li, нах (?), 11:48 , 12-Фев-19, (30) И почему тогда бсдами уже никто не пользуется, если они настолько лучше и продум, Аноним (-), 13:58 , 12-Фев-19, (42) Ровно по той же причине, по которой линукса нет на десктопах , Клыкастый (ok), 14:07 , 12-Фев-19, (44) –2 Это учитывая, что классический десктоп стремительно вымирает, а на планшетах, хр, Аноним (-), 14:26 , 12-Фев-19, (45) Был вопрос и я ответил К чему эти пространные оправдания с переводом темы и стр, Клыкастый (ok), 15:02 , 12-Фев-19, (46) –1 Панеты и хромыебуки не взетеи продавеное в американские коы не в счёт , псевдонимус (?), 07:13 , 13-Фев-19, (69) Авторитетное мнение не имеюего даже заваявсейся вненей кавы ии магазина по бизос, анонн (?), 18:39 , 13-Фев-19, (80) дык вон там выше изложение, для чего на самом деле нужны нынче контейнеры Этого , нах (?), 15:29 , 12-Фев-19, (47) +1 Вот ты срёшь на убунточку, а сам кагбе мимоходом умолчал что сам пользуешь Дава, Gannet (ok), 04:14 , 13-Фев-19, (67) как прибили, так и держится В смысле - чего клиент требует, из того куличик и, нах (?), 11:16 , 13-Фев-19, (73) У кого что болит Сочувствую тебе , Gannet (ok), 22:42 , 14-Фев-19, (90) Потом сознания , Gannet (ok), 22:44 , 14-Фев-19, (91) Я фряху испозую на роутере-файопомойке Нагад на неё Токо без аргументов вроде , псевдонимус (?), 14:20 , 13-Фев-19, (78) Вообще-то контейнеры никогда не позиционировались как ВМы Только админам локалхо, SysA (?), 17:17 , 12-Фев-19, (51) –3 Угу, а системда никогда не позиционировалась как быстрый инит , помним-помним h, анонн (?), 17:41 , 12-Фев-19, (52) +3 Для тех, кто в танке Здесь имеется ввиду ФУНКЦИОНАЛЬНОСТЬ, а не защита , SysA (?), 13:52 , 13-Фев-19, (77) Для тех, кто мерзнет вне танка это современная формулировка А что там с так и, анонн (?), 18:28 , 13-Фев-19, (79) У тебя пальцы перебиты что-ли , Gannet (ok), 04:16 , 13-Фев-19, (68) –1 60 Именно так и позиционироваис И старые п-уны да админы окахостов пытаис дон, Аноним84701 (ok), 22:35 , 12-Фев-19, (64) +2 // Просто я заи каву томатным соком Про постоянные дырки в lинукс-контейнерах будет, псевдонимус (?), 22:47 , 12-Фев-19, (65) –2 Я вообще с контейнерами познакомился, когда надо было чью-то кривую поделку на n, Аноним (36), 12:38 , 12-Фев-19, (36) –1 // аминь, брат, leonid (??), 01:23 , 14-Фев-19, (89) 3,4,6,17,20,36

Сообщения

[Сортировка по времени | RSS]

	5. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+4 +/–
	Сообщение от Аноним (5), 12-Фев-19, 00:34
	This attack is only possible with privileged containers since it requires root privilege on the host to overwrite the runC binary. Unprivileged containers with a non-identity ID mapping do not have the permission to write to the host binary and therefore are unaffected by this attack.
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–1 +/–
	Сообщение от хотел спросить (?), 12-Фев-19, 01:40
	а по умолчанию контейнер какой?
	Ответить | Правка | Наверх | Cообщить модератору

	10. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+1 +/–
	Сообщение от виндотролль (ok), 12-Фев-19, 03:03
	Смотря кто запускает. Если запускает рут (или пользователь, который может писать в /usr/bin/runc), то привелегированный, otherwise — в пролете.
	Ответить | Правка | Наверх | Cообщить модератору

	21. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+4 +/–
	Сообщение от нах (?), 12-Фев-19, 09:52
	> Смотря кто запускает. совершенно неважно, кто его запускает, лапочка. Потому что на самом деле его запускает, сюрприз, docker-daemon, и таки да - от рута. Потому что только рут и может создавать все эти прекрасные неймспейсы, монтировать слои трэша и п-ца один поверх другого и выполнять еще кучу стремных действий. Как только ты дал юзеру права на docker socket - ты ему дал рута, сюрприз, сюрприз. другое дело, что внутри контейнера процесс с pid1 вовсе не обязан быть рутовым, но это множится на ноль принятыми способами запуска демонов, что в контейнере, что нет. Нерутовый докер встречается все больше в абстрактно-сферическом вакууме, да и там не работает без кучи костылей и подпорок. Ну а поскольку тут речь идет о заведомо подброшенном врагами образе (который типовой лох конечно же тащит неглядя с хаба) - разумеется, даже если  и не запустят его не заморачиваясь, "всегда так делаем!", предусмотрительный автор предусмотрит вывод сообщения "запуск от юзера планируется в следующей major версии, а пока не выпендривайтесь, запускайте как все" - и ты ему совершенно не удивишься, ибо у всех так.
	Ответить | Правка | Наверх | Cообщить модератору

	34. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–3 +/–
	Сообщение от хотел спросить (?), 12-Фев-19, 11:58
	>[оверквотинг удален] > другое дело, что внутри контейнера процесс с pid1 вовсе не обязан быть > рутовым, но это множится на ноль принятыми способами запуска демонов, что > в контейнере, что нет. Нерутовый докер встречается все больше в абстрактно-сферическом > вакууме, да и там не работает без кучи костылей и подпорок. > Ну а поскольку тут речь идет о заведомо подброшенном врагами образе (который > типовой лох конечно же тащит неглядя с хаба) - разумеется, даже > если  и не запустят его не заморачиваясь, "всегда так делаем!", > предусмотрительный автор предусмотрит вывод сообщения "запуск от юзера планируется в следующей > major версии, а пока не выпендривайтесь, запускайте как все" - и > ты ему совершенно не удивишься, ибо у всех так. Т.е. VPS это полноценная изоляция насколько позволяет Spectre (ну или Epyc Rome c шифрованием клиентской памяти). А Docker и другие контейнеры - это адская отложенная дыра и никакой изоляции? Накой черт тогда все вокруг онанируют на эти контейнеры? Они же должны сдохнуть как и Електрон. Когда вышел дотнет коре с поддержкой контейнеров, все прям рассыпались в диферамбах. Типа наконец-то сделали, красавцы... А по-хорошему надо было застрелить того индуса, который это придумал.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+3 +/–
	Сообщение от нах (?), 12-Фев-19, 12:11
	> Т.е. VPS это полноценная изоляция насколько позволяет Spectre ну как бы побеги из этой изоляции через дырки в виртуальных или паравиртуальных драйверах тоже в общем случаются регулярно. Просто их никто не воспринимает как "notabug" ;-) > Накой черт тогда все вокруг онанируют на эти контейнеры? Они же должны сдохнуть как и Електрон. "а других разработчиков у меня для вас нет". Основное _сегодня_ использование контейнеров - это чтобы разбросанное хрюшками по полу хрючево пополам с навозом донести от их машины до прода, не заляпав все вокруг. И, как и электрон, оно будет жить вечно, потому что стало модно нанимать зато-дешовеньких, и девальвацию специальности уже никто и никогда назад не вернет.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+1 +/–
	Сообщение от lurkr (ok), 13-Фев-19, 13:17
	распечатаю и повешу на стену
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–1 +/–
	Сообщение от псевдонимус (?), 12-Фев-19, 13:02
	>А Docker и другие контейнеры - это адская отложенная дыра да может кроме опенвз >Накой черт тогда все вокруг онанируют на эти контейнеры? Переносимост По этой же причине не сдохнет и эектрон
	Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

	48. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+1 +/–
	Сообщение от Аноним (48), 12-Фев-19, 15:31
	> да может кроме опенвз Вы где видели официально стабильный Openvz на ядра выше 2.6.32 ?.. вот вот.. труп оно.
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–1 +/–
	Сообщение от нах (?), 12-Фев-19, 17:56
	>>А Docker и другие контейнеры - это адская отложенная дыра > да может кроме опенвз смешно, но его пилили как раз для управления ресурсами в большей степени, чем для надежной изоляции (точнее, тогда меньше боялис-боялис страшного и ужастного хакера, и гораздо больше - долбоящера ,который сожрет все ресурсы дохлого хоста с сотнями таких же рядом) ну правда его нормальные программисты пилили, не "программисты на go"
	Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

	57. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–1 +/–
	Сообщение от псевдонимус (?), 12-Фев-19, 19:35
	>>>А Docker и другие контейнеры - это адская отложенная дыра >> да может кроме опенвз > смешно, но его пилили как раз для управления ресурсами в большей степени, > чем для надежной изоляции я про это собствено и написа
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–3 +/–
	Сообщение от RNZ (ok), 13-Фев-19, 09:40
	> Накой черт тогда все вокруг онанируют на эти контейнеры? Потому-что быстрее, памяти жрёт меньше, управление контекстом и нагрузкой предсказуемее, т.к. работает одно ядро на всё - хост и контейнеры. В VPS, работает по отдельному ядру на хост и каждую VM.
	Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

	76. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–1 +/–
	Сообщение от псевдонимус (?), 13-Фев-19, 13:51
	>работает одно ядро на всё - хост и контейнеры. Еси ты про процессорное ядро то ты не прав
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+2 +/–
	Сообщение от RNZ (ok), 13-Фев-19, 22:51
	>>работает одно ядро на всё - хост и контейнеры. > Еси ты про процессорное ядро то ты не прав Ещё про пушечное ядро скажи. Про kernel речь - https://en.wikipedia.org/wiki/Kernel_(operating_system)
	Ответить | Правка | Наверх | Cообщить модератору

	88. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от псевдонимус (?), 13-Фев-19, 22:59
	Тогда верно И это похо
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от Owlet (?), 12-Фев-19, 12:49
	> Потому что на самом деле его запускает, сюрприз, docker-daemon, и таки да - от рута. Потому что только рут и может создавать все эти прекрасные неймспейсы, монтировать слои трэша и п-ца один поверх другого и выполнять еще кучу стремных действий. И как тогда podman без рута работает по-твоему?
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	61. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–1 +/–
	Сообщение от виндотролль (ok), 12-Фев-19, 21:16
	> Потому что на самом деле его запускает, сюрприз, docker-daemon, и таки да - от рута. Потому что только рут и может создавать все эти прекрасные неймспейсы, монтировать слои трэша и п-ца один поверх другого и выполнять еще кучу стремных действий. > Как только ты дал юзеру права на docker socket - ты ему дал рута, сюрприз, сюрприз. 100%? Т.е. докер не запускает pid1 контейнера в неймспейсе с маппингом <uid> 0 ? Я не знаком с докером досконально, но изоляция без user namespace имеет мало смысла, я б предположил, что они это делают. Кто-то из нас не понял суть уязвимости.
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	71. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+1 +/–
	Сообщение от нах (?), 13-Фев-19, 11:02
	>> Как только ты дал юзеру права на docker socket - ты ему дал рута, сюрприз, сюрприз. > 100%? докер - программа, работающая от рута, причем с максимально широкими правами - всякие аппарморы и группы в панике разбегаются, давая уроду дорогу. А управление ей ты дал левому васяну, как только добавил его в группу имеющих право доступа к сокету, ему больше вообще ничего уже в этой жизни не надо, точнее, он сам себе все возьмет, что только захочет. то что в ней нашлась и еще одна мелкая дырочка - что васян может быть нелевым, но запустить по дурости левый контейнер, который нештатным образом получит доступ к все той же докер-инфраструктуре на хосте (и станет опять же рутом) - на этом фоне смешное недоразумение.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от виндотролль (ok), 13-Фев-19, 18:52
	> докер - программа, работающая от рута, причем с максимально широкими правами - > всякие аппарморы и группы в панике разбегаются, давая уроду дорогу. А > управление ей ты дал левому васяну, как только добавил его в > группу имеющих право доступа к сокету, ему больше вообще ничего уже > в этой жизни не надо, точнее, он сам себе все возьмет, > что только захочет. да ладно? Даже если в ответ демон делает fork() и setuid()? Даже традиционной системы привилегий достаточно, чтоб сделать все безопасно. Конечно, легко ошибиться и наделать дыр. Но сделать безопасно можно. И еще раз, проблема проявляется в привелегированных контейнерах. Т.е. таких, где рут внутри == руту в хосте.
	Ответить | Правка | Наверх | Cообщить модератору

	92. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от Аноним (92), 14-Фев-19, 23:59
	Наверное именно потому везде пихают аппармор и селинукс.
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от виндотролль (ok), 15-Фев-19, 00:51
	> Наверное именно потому везде пихают аппармор и селинукс. > Конечно, легко ошибиться и наделать дыр Вот поэтому и ставят. Никогда не знаешь, где найдут очередную уязвимость. Удаленное исполнения кода и повышение привелегий случалось и доконтейнерную эпоху.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от виндотролль (ok), 12-Фев-19, 21:29
	https://docs.docker.com/engine/security/userns-remap/ вот жеж. Немного не так, как я ожидал, но суть в том, что сообщить демону, под кем запускать контейны — можно. А демон хоть под кем крутись — не важно.
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	66. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от псевдонимус (?), 12-Фев-19, 23:03
	> https://docs.docker.com/engine/security/userns-remap/ > вот жеж. Немного не так, как я ожидал, но суть в том, > что сообщить демону, под кем запускать контейны — можно. > А демон хоть под кем крутись — не важно. Это и ест дыра Незя дават крутится "под кем хоче" Рут в контейнере не дожен превращатся в рут на хосте
	Ответить | Правка | Наверх | Cообщить модератору

	72. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+1 +/–
	Сообщение от нах (?), 13-Фев-19, 11:05
	> Это и ест дыра Незя дават крутится "под кем хоче" Рут в > контейнере не дожен превращатся в рут на хосте контейнер для этого неособенно и нужен - достаточно дать права левому юзеру на доступ к тому, что делается от рута - и необязательно напрямую. банальный chroot пользователям недоступен - но авторам докера невдомек, почему же это. "какой-то ваш замшелый unixway".
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от псевдонимус (?), 13-Фев-19, 13:31
	>банальный chroot пользователям недоступен Вот и именно! "Настоящий" (хостовый) рут дожен быт доступен токо админу хоста В бсдовых жайах это можно обеспечит через джай в джайе не стесняя при этом разработчика в современных lинуксовых "контейнерах" (какое говорящее название сразу возникает ассоциация с мусором) как видиsh
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от виндотролль (ok), 13-Фев-19, 18:54
	>>банальный chroot пользователям недоступен > Вот и именно! "Настоящий" (хостовый) рут дожен быт доступен токо админу хоста > В бсдовых жайах это можно обеспечит через джай в джайе не > стесняя при этом разработчика в современных lинуксовых "контейнерах" (какое говорящее > название сразу возникает ассоциация с мусором) как видиsh вот это вы упрямые. Рут в контейнере не обязательно равне руту в хосте! И если это так (а обычно на продакшнах это так), но уязвимость не проявляется.
	Ответить | Правка | Наверх | Cообщить модератору

	15. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+1 +/–
	Сообщение от Аноним (3), 12-Фев-19, 07:50
	> Unprivileged containers with a non-identity ID mapping Читайте про user namespace я упомянул. Безопасность при user namespace не лучше чем просто root внутри из-за специфичных для него проблем, которые  регулярно продолжают находить.
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	22. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от нах (?), 12-Фев-19, 09:56
	> Безопасность при user namespace не лучше чем просто root все таки лучше - в частности, вот от этой конкретной беды уберегло бы. то что реализация хромает на все восемь конечностей - и еще будет лет десять, а потом ее выкинут как немодную устаревшую технологию, это отдельная тема.
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от Аноним (23), 12-Фев-19, 09:58
	"При этом проблема не проявляется при корректном использованием пространств имён идентификаторов пользователя (user namespaces)"
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	37. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+2 +/–
	Сообщение от Аноним (37), 12-Фев-19, 12:48
	Которые в докере, например, не заюзать нормально из-за кучи ограничений (например, невозможность использования volume-ов)
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–3 +/–
	Сообщение от нах (?), 12-Фев-19, 17:52
	> Которые в докере, например, не заюзать нормально из-за кучи ограничений (например, невозможность > использования volume-ов) а как же "volumes - прошлый век, тру девляпс использует ансибль, всегда модифицируя содержимое контейнера изнутри"?! мне что, не ту методичку подложили?
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от виндотролль (ok), 12-Фев-19, 21:31
	Можно пример, когда это надо?
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема