Выход из контейнера

решето :(

BINGO!!

в чем уязвимость конкретно? в каком компоненте

Чета даже ржу.

Похоже действительно нужна какая-то совсем другая архитектура и железа и ОС, чтобы дыры чуть не каждый день не вылазили.

OpenVMS + Itanium?

Как, блин, вовремя закончилась основная поддержка на SLES 11. А расширенной у меня нет. А хотя ладно. У меня контейнеры только на локалхосте

Ко-ко-ко-контейнеры, говорили они...

Нужны какие-то совсем другие люди, чтобы не считали нагромождение слоёв решением любой проблемы. Контейнеры могут быть хороши для определённых сценариев (e.g. простой редеплоймент с окружением для быстрого развёртывания), но городить лишний слой поверх хостовой системы прав ради безопасности — это идеальный пример костыля.

Никогда такого не было, и вот, опять!

шерето в шерете!

так контейнеры же не для безопасности. это же для неосиляторов

тут проблема не в дополнительном слое для безопасности, тут проблема в том что снаружи обертка написана на питоне.

Ну понятно, что любая дыра сводится к конкретному куску говнокода. Что не отменяет принципа.

тут скорее проблема в том что народ стал использовать докер для того для чего он не предназначен. если использовать его как средство разработки локально то проблем 0.

+1, именно об этом я и говорю. :)

UPD. Слака говно! Не знаю, не юзал, гента наше всё. Но если ты со слаки на чё-нить другое переедешь, будешь просить админа ЛОРа ник поменять?

городить лишний слой поверх хостовой системы прав ради безопасности

это нормально, таких слоев тьма.

а вот применять для изоляции контейнеры - это плохая идея.

железа

Да, сходи подкачайся, там другая железа

Самое время переходить на Podman и Kubernetes.

На unikernel пора переходить http://unikernel.org/

Как только в CoreOS завезут, обязательно посмотрю.

И сейчас бы предложить хорошую, но нет времени — надо писать комментарии на ЛОР ;)

Там же то же самое в качестве бэкенда, не?

Полагаю, имеются в виду всякие SELinux и AppArmor. Тоже сложные костыли поверх для-кого-то-недостаточно-прошаренной системы прав лялиха. Но если они чем и лучше контейнеризации, так это толщиной слоя. Хотя ЕМНИП и в них дыры находили размером с жопу Саши Грей.

Полная виртуализация или ничего.

Они, конечно.

У Podman в бэкенде его libpod.

Спасибо, добрый человек, давно не мог вспомнить, как эта наркомания звалась.

<offtop on >Ну основная система Gentoo )) Slackware периодически ставлю </offtop off >

А оно может прикладное приложение на голом железе ? а то мысль бредовая возникла)

Похоже действительно нужна какая-то совсем другая архитектура и железа и ОС, чтобы дыры чуть не каждый день не вылазили.

Рукажопам это не поможет :(

самое время завести юзера под сервис и выдать ему нужные права, а не запускать всякую парашу в контейнере под рутом.

Думал, что проблема в самой виртуализации, но прочитал ссылку и понял, что на самом деле она в обвязке. Тогда да.

Хотя libpod тоже не застрахован от таких косяков.

Сервера амазона и других уже скомпрометированы?

я тоже так думал, пока не стал использовать это угрёбище в разработке

а не запускать всякую парашу в контейнере под рутом

Podman работает без root-прав.

если использовать его как средство разработки локально то проблем 0.

Ну разработал ты локально, потом ЭТИ контейнеры запускается в каком нибудь кибернате в продакшене, их юзают по сети и что дальше ?

Была же ржака на эту тему, что докер крутят в виртуалках, по одному контейнеру на виртуальную машину.

я имел в виду когда в продакшене запускается не в докере.

Полная виртуализация или ничего.

Расскажи вкратце о принципиальных отличиях полной виртуализации от контейнеризации. Особенно интересует та часть, где волшебный единорог гарантирует ошибки в софте.

Когда они уже обучатся.

Temple os + эльбрус

Вкратце? В случае полной виртуализации изоляция иногда ломается, а в случае чрутов-переростков - иногда наблюдается.

я имел в виду когда в продакшене запускается не в докере.

Не очень понял. Ладно спрошу чуть по другому. Где в продакшене юзера имеют доступ к хосту с докером ?

Ты в суть дырки-то вник? Для её эксплуатации нужен человек с рутом на сервере. Расскажешь, как от этого спасает полная виртуализация?

Для её эксплуатации нужен человек с рутом на сервере.

Я вам больше скажу. Малого что там нужен чел с рутом в хосте, так этот чел в этот момент должен делать - docker cp.

Не спорю что дыра, но заюзать ЭТО в продакшене практически не возможно.

докеролюбы, срочно обновляйте свои сайтики!

Новость из 1й строчки. Что дальше? Новость из 1го слова?

должен делать в этот момент docker cp

И, возможно, не один раз! У меня с первого раза нигде не заработало. Только с

while true; do …; done

Для эксплойта нужен только доступ к docker run и docker cp. Рут для этого не нужен, обычно только роль docker или иной эквивалент чтобы пользоваться докерным сокетом.

Похоже эксплуатируемо и при tcp протоколе, проблема в реализации команды, которую триггерит docker cp.

Однако в любом случае эксплойты возможны только при доступе к управлению докерным демоном. Это не помешает большинству продакшеновых деплоев, в тех же кубернейтсах, поскольку их кластеры неплохо изолированы, но может легко поломать целую серию CI-площадок, вроде гитлабовых, где можно запускать любые контейнеры и докер-в-докере.

А то что?

Видимо не вник, потому что в моем понимании для ее эксплуатации не нужен человек с рутом на «хосте».

Просвети невнимательного.