Исходное сообщение
"Уязвимости в QoS-подсистеме ядра Linux, позволяющие поднять ..." Отправлено Аноним, 13-Апр-23 09:07
Можно подумать это специально. Ядро не делали с учетом таких вещей, изначально система была одна, контейнеров не было, ядро считало CAP_NET_ADMIN безусловным сигналом к действию. А когда всем захотелось контейнеры, сову совместными усилиями натянули на глобус, оказалось что некоторые нюансы все же есть. Ну вот и штопают периодически, когда ядро рута контейнера за рута всей системы воспринимает. А таких мест в ядре в всяких экзотичных краевых случаях наверняка еще есть. В обычной системе могли особо и не париться - если рут сам себе отстрелит пятку, он это и так мог, кому хуже то. А тут вот рут мог быть и не настоящий. Опа.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Можно подумать это специально. Ядро не делали с учетом таких вещей, изначально > система была одна, контейнеров не было, ядро считало CAP_NET_ADMIN безусловным сигналом > к действию. А когда всем захотелось контейнеры, сову совместными усилиями натянули > на глобус, оказалось что некоторые нюансы все же есть. Ну вот > и штопают периодически, когда ядро рута контейнера за рута всей системы > воспринимает. А таких мест в ядре в всяких экзотичных краевых случаях > наверняка еще есть. > В обычной системе могли особо и не париться - если рут сам > себе отстрелит пятку, он это и так мог, кому хуже то. > А тут вот рут мог быть и не настоящий. Опа.
	Введите код, изображенный на картинке: