Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в runc и LXC, затрагивающая Docker и другие систе..., opennews (??), 11-Фев-19, (0) [смотреть все] Давно пора понять, что выполнение чего-либо с правами root в контейнере аналогич, Аноним (3), 00:16 , 12-Фев-19, (3) +1 // This attack is only possible with privileged containers since it requires rootpr, Аноним (5), 00:34 , 12-Фев-19, (5) +4 // а по умолчанию контейнер какой , хотел спросить (?), 01:40 , 12-Фев-19, (8) –1 // Смотря кто запускает Если запускает рут или пользователь, который может писать, виндотролль (ok), 03:03 , 12-Фев-19, (10) +1 совершенно неважно, кто его запускает, лапочка Потому что на самом деле его запу, нах (?), 09:52 , 12-Фев-19, (21) +4 gt оверквотинг удален Т е VPS это полноценная изоляция насколько позволяет Sp, хотел спросить (?), 11:58 , 12-Фев-19, (34) –3 ну как бы побеги из этой изоляции через дырки в виртуальных или паравиртуальных , нах (?), 12:11 , 12-Фев-19, (35) +3 распечатаю и повешу на стену, lurkr (ok), 13:17 , 13-Фев-19, (74) +1 да может кроме опенвзПереносимост По этой же причине не сдохнет и эектрон, псевдонимус (?), 13:02 , 12-Фев-19, (39) –1 Вы где видели официально стабильный Openvz на ядра выше 2 6 32 вот вот тру, Аноним (48), 15:31 , 12-Фев-19, (48) +1 смешно, но его пилили как раз для управления ресурсами в большей степени, чем дл, нах (?), 17:56 , 12-Фев-19, (55) –1 я про это собствено и написа, псевдонимус (?), 19:35 , 12-Фев-19, (57) –1 Потому-что быстрее, памяти жрёт меньше, управление контекстом и нагрузкой предск, RNZ (ok), 09:40 , 13-Фев-19, (70) –3 Еси ты про процессорное ядро то ты не прав , псевдонимус (?), 13:51 , 13-Фев-19, (76) –1 Ещё про пушечное ядро скажи Про kernel речь - https en wikipedia org wiki Ker, RNZ (ok), 22:51 , 13-Фев-19, (87) +2 Тогда верно И это похо, псевдонимус (?), 22:59 , 13-Фев-19, (88) И как тогда podman без рута работает по-твоему , Owlet (?), 12:49 , 12-Фев-19, (38) 100 Т е докер не запускает pid1 контейнера в неймспейсе с маппингом uid 0 , виндотролль (ok), 21:16 , 12-Фев-19, (61) –1 докер - программа, работающая от рута, причем с максимально широкими правами - в, нах (?), 11:02 , 13-Фев-19, (71) +1 да ладно Даже если в ответ демон делает fork и setuid Даже традиционной сис, виндотролль (ok), 18:52 , 13-Фев-19, (81) Наверное именно потому везде пихают аппармор и селинукс , Аноним (92), 23:59 , 14-Фев-19, (92) Вот поэтому и ставят Никогда не знаешь, где найдут очередную уязвимость Удален, виндотролль (ok), 00:51 , 15-Фев-19, (93) https docs docker com engine security userns-remap вот жеж Немного не так, ка, виндотролль (ok), 21:29 , 12-Фев-19, (62) Это и ест дыра Незя дават крутится под кем хоче Рут в контейнере не дожен прев, псевдонимус (?), 23:03 , 12-Фев-19, (66) контейнер для этого неособенно и нужен - достаточно дать права левому юзеру на д, нах (?), 11:05 , 13-Фев-19, (72) +1 Вот и именно Настоящий хостовый рут дожен быт доступен токо админу хоста В , псевдонимус (?), 13:31 , 13-Фев-19, (75) вот это вы упрямые Рут в контейнере не обязательно равне руту в хосте И если э, виндотролль (ok), 18:54 , 13-Фев-19, (82) Читайте про user namespace я упомянул Безопасность при user namespace не лучше , Аноним (3), 07:50 , 12-Фев-19, (15) +1 // все таки лучше - в частности, вот от этой конкретной беды уберегло бы то что реа, нах (?), 09:56 , 12-Фев-19, (22) При этом проблема не проявляется при корректном использованием пространств имён, Аноним (23), 09:58 , 12-Фев-19, (23) Которые в докере, например, не заюзать нормально из-за кучи ограничений наприме, Аноним (37), 12:48 , 12-Фев-19, (37) +2 а как же volumes - прошлый век, тру девляпс использует ансибль, всегда модифици, нах (?), 17:52 , 12-Фев-19, (54) –3 Можно пример, когда это надо , виндотролль (ok), 21:31 , 12-Фев-19, (63) Красиво , erthink (ok), 00:25 , 12-Фев-19, (4) +1 Ай молодца Сколько всего сразу повалилось Вот это понимаю unix-way Еще бы хром, 4eburashk (?), 00:42 , 12-Фев-19, (6) –1 // After some discussion with the systemd-nspawn folks, it appears thatthey aren t , Аноним (7), 01:12 , 12-Фев-19, (7) +11 // Wow, первый положительный коммент относительно systemd Сам пользую systemd-конт, Gannet (ok), 03:20 , 12-Фев-19, (11) +2 // Но ведь nspawn - это гораздо удобнее того же LXC , Аноним (13), 07:21 , 12-Фев-19, (13) –2 А микроскоп лучше молотка, ну кто бы спорил Выключите свет они на свет лезут , GentooBoy (ok), 07:40 , 12-Фев-19, (14) –3 из системд к сожалению никто не хочет код копипастить к себе в инит , Аноним (9), 02:20 , 12-Фев-19, (9) Что у вас повалилось Какой вменяемый сидит под рутом, Аноним (12), 03:39 , 12-Фев-19, (12) –4 // Каждый второй хипста с докерком, угу , Онаним (?), 09:29 , 12-Фев-19, (16) +1 // каждый первый, поскольку далеко не все можно запустить с -u, и даже то что в при, нах (?), 09:43 , 12-Фев-19, (19) +3 Вообще контейнеры - это адовый костыль Был таковым, есть, и будет есть , Онаним (?), 09:31 , 12-Фев-19, (17) +4 // Это не костыль Это попытка забивать гвозди микроскопом, а точнее использовать м, Аноним (28), 11:35 , 12-Фев-19, (28) +2 // разделение ресурсов для доверенных приложений неплохо обеспечивает операционная , нах (?), 11:54 , 12-Фев-19, (33) +5 // Хорошо изложил , Клыкастый (ok), 14:06 , 12-Фев-19, (43) Вооот Их создаваи дя руёжки ресурсами а не дя безопасности в отичие от тех же бс, псевдонимус (?), 13:15 , 12-Фев-19, (40) –2 На Убунте lxc запрягают через lxd, и, типа, пофик на эту дыру Не У меня runc в, via (??), 09:45 , 12-Фев-19, (20) –1 // тебе - пофиг, никому твоя васян-локалхостовая поделка не нужнаА дыра в lxc точно, нах (?), 10:04 , 12-Фев-19, (25) –1 // дыра то в runc , via (??), 11:18 , 12-Фев-19, (26) // нет, в liblxc точно такая же , нах (?), 11:43 , 12-Фев-19, (29) https people canonical com ubuntu-security cve 2019 CVE-2019-5736 htmlЗадевае, via (??), 13:16 , 12-Фев-19, (41) ну конечно, кто ж у нас эксперты чье мнение по всем вопросам самое главное - пип, нах (?), 17:50 , 12-Фев-19, (53) –1 Но ведь они абсолютно правы Контейнеры - это способ разделения ресурсов а не сп, Аноним (28), 11:28 , 12-Фев-19, (27)   // s for security, да Правда, как раз lxc-то принципиально позиционировалась как li, нах (?), 11:48 , 12-Фев-19, (30)   И почему тогда бсдами уже никто не пользуется, если они настолько лучше и продум, Аноним (-), 13:58 , 12-Фев-19, (42)   Ровно по той же причине, по которой линукса нет на десктопах , Клыкастый (ok), 14:07 , 12-Фев-19, (44) –2   Это учитывая, что классический десктоп стремительно вымирает, а на планшетах, хр, Аноним (-), 14:26 , 12-Фев-19, (45)   Был вопрос и я ответил К чему эти пространные оправдания с переводом темы и стр, Клыкастый (ok), 15:02 , 12-Фев-19, (46) –1   Панеты и хромыебуки не взетеи продавеное в американские коы не в счёт , псевдонимус (?), 07:13 , 13-Фев-19, (69)   Авторитетное мнение не имеюего даже заваявсейся вненей кавы ии магазина по бизос, анонн (?), 18:39 , 13-Фев-19, (80)   дык вон там выше изложение, для чего на самом деле нужны нынче контейнеры Этого , нах (?), 15:29 , 12-Фев-19, (47) +1   Вот ты срёшь на убунточку, а сам кагбе мимоходом умолчал что сам пользуешь Дава, Gannet (ok), 04:14 , 13-Фев-19, (67)   как прибили, так и держится В смысле - чего клиент требует, из того куличик и, нах (?), 11:16 , 13-Фев-19, (73)   У кого что болит Сочувствую тебе , Gannet (ok), 22:42 , 14-Фев-19, (90)   Потом сознания , Gannet (ok), 22:44 , 14-Фев-19, (91)   Я фряху испозую на роутере-файопомойке Нагад на неё Токо без аргументов вроде , псевдонимус (?), 14:20 , 13-Фев-19, (78)   Вообще-то контейнеры никогда не позиционировались как ВМы Только админам локалхо, SysA (?), 17:17 , 12-Фев-19, (51) –3   Угу, а системда никогда не позиционировалась как быстрый инит , помним-помним h, анонн (?), 17:41 , 12-Фев-19, (52) +3   Для тех, кто в танке Здесь имеется ввиду ФУНКЦИОНАЛЬНОСТЬ, а не защита , SysA (?), 13:52 , 13-Фев-19, (77)   Для тех, кто мерзнет вне танка это современная формулировка А что там с так и, анонн (?), 18:28 , 13-Фев-19, (79)   У тебя пальцы перебиты что-ли , Gannet (ok), 04:16 , 13-Фев-19, (68) –1   60 Именно так и позиционироваис И старые п-уны да админы окахостов пытаис дон, Аноним84701 (ok), 22:35 , 12-Фев-19, (64) +2 // Просто я заи каву томатным соком Про постоянные дырки в lинукс-контейнерах будет, псевдонимус (?), 22:47 , 12-Фев-19, (65) –2 Я вообще с контейнерами познакомился, когда надо было чью-то кривую поделку на n, Аноним (36), 12:38 , 12-Фев-19, (36) –1 // аминь, брат, leonid (??), 01:23 , 14-Фев-19, (89) 3,4,6,17,20,36

Сообщения

[Сортировка по времени | RSS]

	27. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от Аноним (28), 12-Фев-19, 11:28
	>"поскольку мы давно написали на туалетной бумажке, что рутовые контейнеры небезопасТные, объявлять это уязвимостью мы не будем!" Но ведь они абсолютно правы. Контейнеры - это способ разделения ресурсов а не способ изоляции недоверенных приложений, следовательно это баг но не уязвимость.
	Ответить | Правка | К родителю #25 | Наверх | Cообщить модератору

	30. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от нах (?), 12-Фев-19, 11:48
	s for security, да. Правда, как раз lxc-то принципиально позиционировалась как lightweight-замена vm, от которой в общем принято ждать нормальной изоляции, а не плохого разделения ресурсов. Впрочем, беда всех оберток одна и та же - они все не считают своей проблемой проблему пользователя. "мы вам наслесарили поддержку user namespaces, остальные претензии к ядру, мопед не наш". А вот бсшдшники попали, у них jail традиционно часть системы, а не утилита где-то в sbin, не получается валить все на "эти там в ядре что-то недоделали, но наша утилита тут непричем". ;-)
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от Аноним (-), 12-Фев-19, 13:58
	> А вот бсшдшники попали, у них jail традиционно часть системы, а не утилита где-то в sbin, не получается валить все на "эти там в ядре что-то недоделали, но наша утилита тут непричем". ;-) И почему тогда бсдами уже никто не пользуется, если они настолько лучше и продуманее?
	Ответить | Правка | Наверх | Cообщить модератору

	44. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–2 +/–
	Сообщение от Клыкастый (ok), 12-Фев-19, 14:07
	Ровно по той же причине, по которой линукса нет на десктопах.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от Аноним (-), 12-Фев-19, 14:26
	> Ровно по той же причине, по которой линукса нет на десктопах. Это учитывая, что классический десктоп стремительно вымирает, а на планшетах, хромбухах, телефонах, в телезвизорах совсем не бзды? Просто бсдшники любят рассказывать об академической правильности и крутости своих подходов, скромно умалчивая, что даже сами ими в реальности нигде кроме виртуалки не пользуются.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–1 +/–
	Сообщение от Клыкастый (ok), 12-Фев-19, 15:02
	>> Ровно по той же причине, по которой линукса нет на десктопах. > Это учитывая, что классический десктоп стремительно вымирает Был вопрос и я ответил. К чему эти пространные оправдания с переводом темы и стрелок, совершенно неясно. Такое впечатление что вы, дорогой аноним, отвечаете на вопрос, который я не задавал.
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от псевдонимус (?), 13-Фев-19, 07:13
	Панеты и хромыебуки не взетеи(продавеное в американские коы не в счёт)
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

	80. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от анонн (?), 13-Фев-19, 18:39
	> Панеты и хромыебуки не взетеи(продавеное в американские коы не в счёт) Авторитетное мнение не имеюего даже заваявсейся вненей кавы ии магазина по бизости и пиуего уже третий ден каки-то ребусы?
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+1 +/–
	Сообщение от нах (?), 12-Фев-19, 15:29
	> И почему тогда бсдами уже никто не пользуется дык вон там выше изложение, для чего на самом деле нужны нынче контейнеры. Этого в бсде нет и не будет никогда - патамушта-у-разработчика-линукс. В смысле, он вообще ничего другого кроме своей бубунточки не умеет, и до прода ее донести не рассыпав можно только завернув в контейнер (leak and radiation proof). А так - пользуются, те кому на самом деле юникс нужен, а не платформа для докера. И jail там именно как средство изоляции - тоже вполне пользуем, вот, к примеру, так: syslogd_program="/usr/sbin/jail" syslogd_flags="-l -n syslog -s 2 / $hostname $EXT_IP /usr/sbin/syslogd" то есть вообще ничего не трогая в штатной системной обвязке - стремную (в режиме без -ss ) зверушку отправили в отдельную помойку подальше от остальных. Ей там совершенно не плохеет (она не получает pid1, со всеми его обязанностями, она не отрезана от общей fs, ей нормально передает сигналы ротейтилка и т д) но если ее поломают - предстоит еще интересный квест по вылезанию из пространства, где нет ни одного постороннего процесса, сеть ограничена и доступ к сокетам остального сервера - на общих основаниях, а не как у локального процесса и т д. Нет, хочешь отдельную иерархию в fs или вовсе эмуляцию виртуалки с полноценным исполнением /etc/rc, собственным ssh внутри и т д - пожалуйста, но, как видим, можно и без. Проблема в другом - а кому он нужен сегодня, этот юникс? Нужно ж как-в-винде, только бесплатно. Исключения, конечно, есть, но их слишком мало, чтобы привлечь нормальных разработчиков, да еще способных одолеть барьер на входе. P.S. осторожно, в примере использован запрещенный синтаксис времен 4.x и еще он, скорее всего, подерется с protect. Новые-модные тенденции, они и тут норовят все испортить.
	Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

	67. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от Gannet (ok), 13-Фев-19, 04:14
	Вот ты срёшь на убунточку, а сам кагбе мимоходом умолчал что сам пользуешь. Давай и мы посрём на твой дистр, чё, слабо, умник?
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от нах (?), 13-Фев-19, 11:16
	> Вот ты срёшь на убунточку, а сам кагбе мимоходом умолчал что сам "как прибили, так и держится". В смысле - чего клиент требует, из того куличик и слепим. Клиентов требующих не из дерьма и палок и способных за это заплатить - у меня, к сожалению, на горизонте  нет. А и появятся - не возьмусь. Клиент не вечен (даже если это какой-нибудь netflix), а строчка в резюме "построил Тадж-Махал в натуральную величину на freebsd" не принесет нынче успеха у следующих работодателей. В отличие от известной субстанции, и можно даже в масштабе 1:10000, но непременно на 1000 инстансов. > пользуешь. Давай и мы посрём на твой дистр, чё, слабо, умник? это ты на б-жественную десяточку намекаешь? Не советую, instant karma может настичь: http://bash.org/?163301
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от Gannet (ok), 14-Фев-19, 22:42
	> это ты на б-жественную десяточку намекаешь? Не советую, instant karma может настичь: > http://bash.org/?163301 У кого что болит. Сочувствую тебе.
	Ответить | Правка | Наверх | Cообщить модератору

	91. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от Gannet (ok), 14-Фев-19, 22:44
	> "как прибили, так и держится". В смысле - чего клиент требует, из > того куличик и слепим. Клиентов требующих не из дерьма и палок > и способных за это заплатить - у меня, к сожалению, на > горизонте  нет. А и появятся - не возьмусь. Клиент не > вечен (даже если это какой-нибудь netflix), а строчка в резюме "построил > Тадж-Махал в натуральную величину на freebsd" не принесет нынче успеха у > следующих работодателей. В отличие от известной субстанции, и можно даже в > масштабе 1:10000, но непременно на 1000 инстансов. Потом сознания?
	Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

	78. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от псевдонимус (?), 13-Фев-19, 14:20
	Я фряху испозую на роутере-файопомойке Нагад на неё Токо без "аргументов" вроде утф8 в консои В ней ест что пнут
	Ответить | Правка | К родителю #67 | Наверх | Cообщить модератору

	51. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–3 +/–
	Сообщение от SysA (?), 12-Фев-19, 17:17
	Вообще-то контейнеры никогда не позиционировались как ВМы! Только админам локалхоста не видна разница.
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

	52. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+3 +/–
	Сообщение от анонн (?), 12-Фев-19, 17:41
	> Вообще-то контейнеры никогда не позиционировались как ВМы! Угу, а системда никогда не позиционировалась как "быстрый инит", помним-помним! https://web.archive.org/web/20110924020630/http://lxc.source.../ > The LXC package combines these Linux kernel mechanisms to provide a userspace container object, a  lightweight virtual system with full resource isolation and resource control for an application or a system. > LXC started out with an efficient mechanism (existing Linux process management) and added isolation, resulting in a system virtualization mechanism as scalable and portable as chroot, capable of simultaneously supporting thousands of emulated systems on a single server while also providing lightweight virtualization options to routers and smart phones. https://linuxcontainers.org/ > That is, containers which offer an environment as close as possible as the one you'd get from a VM but without the overhead that comes with running a separate kernel and simulating all the hardware.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от SysA (?), 13-Фев-19, 13:52
	Для тех, кто в танке: > That is, containers which offer an environment as close as possible as the one you'd get from a VM but without the overhead that comes with running a separate kernel and simulating all the hardware. Здесь имеется ввиду ФУНКЦИОНАЛЬНОСТЬ, а не защита!
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	+/–
	Сообщение от анонн (?), 13-Фев-19, 18:28
	> Для тех, кто в танке: >> That is, containers which offer an environment as close as possible as the one you'd get from a VM but without the overhead that comes with running a separate kernel and simulating all the hardware. > Здесь имеется ввиду ФУНКЦИОНАЛЬНОСТЬ, а не защита! Для тех, кто мерзнет вне танка: это современная формулировка. А что там с (так изящно проигнорированным: >> a  lightweight virtual system with full resource isolation and resource control for an application or a system.
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Уязвимость в runc и LXC, затрагивающая Docker и другие систе..."	–1 +/–
	Сообщение от Gannet (ok), 13-Фев-19, 04:16
	>> Вообще-то контейнеры никогда не позиционировались как ВМы! > Именно так и позиционироваис И старые п-уны да админы окахостов пытаис донести > мыс что это не совсем так Но кто учитыва мнение этих > дурачков? У тебя пальцы перебиты что-ли?
	Ответить | Правка | К родителю #52 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема