Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Docker, позволяющая выбраться из контейнера, opennews (??), 29-Май-19, (0) [смотреть все] Ждем комментаторов с искрометными шутками про девляпсов и контейнеры нинужны , Аноним (1), 13:22 , 29-Май-19, (1) +19 // Контейнеры нинужны, у меня на Windows 10 ничего не изолировано и работает , КэГэБэ эСэСэСэР (?), 13:25 , 29-Май-19, (2) +10 // И тебе нечего скрывать , Аноним (42), 16:54 , 29-Май-19, (42) +8 Ничего кроме тебя самого , VINRARUS (ok), 18:32 , 29-Май-19, (58) –2 Дыркер -- он про сак-сцесс и искромётные комментарии https www opennet, Andrey Mitrofanov_N0 (?), 13:26 , 29-Май-19, (3) // поставил тебе - -- первый -- безумный -- Текст второй безум, Аноним (64), 19:35 , 29-Май-19, (64) –1 Митрофаныч, у тебя учетку на опеннетике угнали что ли , Васян (?), 17:47 , 30-Май-19, (137) // Граждане, это поддельный Митрофанушко , Васян (?), 17:49 , 30-Май-19, (138) –1 Почему это не нужны Это хорошый способ предотвратить возможность какому-нибудь , Аноним (5), 13:30 , 29-Май-19, (5) +5 // Этот кейс требует изоляции только на уровне файловой системы, что легко решается, Аноним (40), 16:37 , 29-Май-19, (40) +3 // Да, но инфраструктура более легковесных в плане ресурсов решений оказывается бол, freehck (ok), 18:31 , 29-Май-19, (57) +1 Вопрос лишь о том, зачем под доскер подстилать большую юникс-подобную систему, п, Anonymoustus (ok), 19:03 , 29-Май-19, (60) Анонимаустус, а каким боком и что именно докер сломал-то , freehck (ok), 19:53 , 29-Май-19, (69) –2 Не доскер сломал, а те, кто из линукса делают корпоративную пускалку для доскеро, Anonymoustus (ok), 20:12 , 29-Май-19, (73) +1 Никсы нужны для того, чтобы ими пользоваться, причём - как _угодно_, так и польз, IRASoldier_registered (ok), 02:34 , 30-Май-19, (98) –4 Здесь у нас, похоже, ещё один опоздавший родиться, не читавший ни Реймонда, ни К, Anonymoustus (ok), 07:17 , 30-Май-19, (102) Ой, а в чём, расскажИте А то вы может тоже похоже не читали , Аноним (114), 13:25 , 30-Май-19, (114) –2 Эти ссылки не для тебя, невежливый аноним, ты всё равно читать не будешь Это дл, Anonymoustus (ok), 13:28 , 30-Май-19, (116) Про macOS и Все те маленькие sh, awk, sed, vi vim и пр и не очень маленькие , Andrey Mitrofanov_N0 (?), 08:49 , 31-Май-19, (154) https www opengroup org openbrand registerЕсли бы ты пользовался Маком, ты бы , Anonymoustus (ok), 09:03 , 31-Май-19, (155) И не для того, чтобы молиться на священные книги предков и основателей Предн, IRASoldier_registered (ok), 18:09 , 30-Май-19, (141) –3 Ты книжки почитай по моим ссылкам, проникнись, _пойми_ наконец, _что такое_ Юник, Anonymoustus (ok), 18:28 , 30-Май-19, (144) Книжки-то интересные И читанные Но _дискуссия_ не имеет никакого реального смы, IRASoldier_registered (ok), 20:10 , 30-Май-19, (145) –2 Главное было в рисёрче на авось продажникам AT T прокатит Чего бы там академия, Andrey Mitrofanov_N0 (?), 08:41 , 31-Май-19, (153) Юникс изначально делали не для продажи для продажи там были другие товары и усл, Anonymoustus (ok), 09:12 , 31-Май-19, (156) И где теперь все те никсы для корпоративных задач которыми пользовались Гуса, анонн (?), 13:28 , 30-Май-19, (117) +1 Самые распространенные в этом сегменте дистрибутивы линуксов бсд - ну да ты ж , IRASoldier_registered (ok), 17:55 , 30-Май-19, (139) –1 И это отвечает на какой вопрос Помимо того, что если даже забыть о Linux is not, анонн (?), 18:11 , 30-Май-19, (142) Какой-то уход разговора в сторону и кашеобразие С чего началось Началось с тог, IRASoldier_registered (ok), 20:29 , 30-Май-19, (146) –1 Сделали уже Маленькая пускалка для dockerhttps rancher com rancher-os , Anonymouss (?), 20:53 , 29-Май-19, (79) –2 Потому что это не правильный подход Надо не систему бутстрапить, а сбандлить с , Аноним (103), 08:29 , 30-Май-19, (103) Плюсую А ещё деплой удобнее в разы становится , freehck (ok), 18:28 , 29-Май-19, (56) // Скрыто модератором, пох. (?), 20:11 , 29-Май-19, (72) +1 Скрыто модератором, хотел спросить (?), 22:05 , 29-Май-19, (86) Скрыто модератором, пох. (?), 22:13 , 29-Май-19, (91) Скрыто модератором, хотел спросить (?), 02:28 , 30-Май-19, (97) –2 Скрыто модератором, пох. (?), 13:54 , 30-Май-19, (122) Скрыто модератором, хотел спросить (?), 21:54 , 30-Май-19, (147) –2 Если писать код абсолютно правильно, то контейнеры не особо то и нужны Но с ним, Аноним (8), 13:49 , 29-Май-19, (8) +3 // максималист детектед Возвращайся в мир собственных фантазий, kai3341 (ok), 14:07 , 29-Май-19, (10) +1 Контейнеры были придуманы для разделения ресурсов между сервисами, выполняющимис, Аноним (40), 16:27 , 29-Май-19, (39) +1 // да ну нах Я-то думал для разделения ресурсов были придуманы многозадачные опера, пох. (?), 22:06 , 29-Май-19, (87) +3 systemd-nspawn, SysA (?), 17:27 , 30-Май-19, (135) –1 Если использовать java EE, то доцкер не нужен Может есть и другие вменяемые пла, лютый жабист__ (?), 18:44 , 29-Май-19, (59) –3 // угу, вместо сравнительно дешевого девляпса надо кормить наглого и распухшего от , пох. (?), 14:09 , 30-Май-19, (123) +1 У девляпсов копирование файлов в контейнер точнее, образ выполняется только , Fyjybv755 (?), 15:22 , 29-Май-19, (27) +1 // объявленные те что персистентны, а не каждый раз вручную deprecated пять лет н, пох. (?), 16:07 , 29-Май-19, (33) –2 // И чем заменять предлагают , Анониим (?), 17:00 , 29-Май-19, (43) как обычно, ничем - как, вы не слышали в какой криокамере вы спали standalone, пох. (?), 17:58 , 29-Май-19, (49) –1 в k8s все тем более через volume-ы делается, Аноним (53), 18:13 , 29-Май-19, (53) +2 Судя по его комментам в этом обсуждении, докер он видел только на картин Wвинде,, Fyjybv755 (?), 12:41 , 30-Май-19, (112) –1 ваш сварм - такое же устаревшее ненужно, уже выкинутое ляпателями доскера в помо, пох. (?), 14:16 , 30-Май-19, (125) Осталось найти девопса и убедить его сто раз скачать файл из работающего контейн, sailorCat (?), 17:37 , 29-Май-19, (45) ну нет, зачем же так - надо найти девопса с десятью тысячами контейнеров, и как-, пох. (?), 18:00 , 29-Май-19, (50) Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации и чуть что - , Fyjybv755 (?), 12:39 , 30-Май-19, (111) –1 Зачем ты приписываешь свои слова другим На практике проще Но не правильней Потом, Аноним (114), 13:31 , 30-Май-19, (118) ну нет, зачем же - он как раз автоматически наш эксплойт и запустит, вручную-то , пох. (?), 14:22 , 30-Май-19, (126) docker cp Нет, не запустит В процессе продового деплоя отладочным операциям не, Fyjybv755 (?), 15:52 , 30-Май-19, (128) –1 ага, перезапускать до посинения прода, после - обновить резюме так же, как мы ра, пох. (?), 16:08 , 30-Май-19, (132) Где вы такую траву берете Или вы машину времени украли и пишете из 2030 года , Анонимус2 (?), 19:38 , 29-Май-19, (65) +1 Не машину, а вагон времени Всё это ваше ГНУ именно про вагон бесплатного чужого, Аноним (114), 13:27 , 30-Май-19, (115) Сестра, тампоны В треде ушибленный ГНУ 1У тебя ушиб, если ты девляпсы выше п, Andrey Mitrofanov_N0 (?), 09:21 , 31-Май-19, (157) О, сразу видно великого спеца по девляпсам Контейнеры, значит, вручную создаете, Fyjybv755 (?), 12:35 , 30-Май-19, (110) сразу видно великого спеца-девляпса, он даже не понял что речь о персистентных т, пох. (?), 14:25 , 30-Май-19, (127) Нет, я не понял, нафига вообще нужны персистентные тома Еще раз список томов в, Fyjybv755 (?), 16:07 , 30-Май-19, (131) –2 в этой- низачем, поэтому поломано и починено не будет Как и много чего еще, бр, пох. (?), 16:11 , 30-Май-19, (133) +1 Не каждому разработчику удаётся выбраться из контейнера на оплачиваемую работу , Канделябры (?), 16:02 , 29-Май-19, (32) +11 // Хьело фрём Индия, дрюгь Ми написале харёши кёд для твая видиёкартачкя, дрюгь Т, Аноним (52), 18:10 , 29-Май-19, (52) +2 Жаль, что тебе и подобным не понятно, что это не шутки в целом Контейнеры сами п, Дон Ягон (?), 16:17 , 29-Май-19, (37) +2 // какая разница между концепцией контейнеров, ее реализацией в докере и линуксовым, виндотролль (ok), 06:44 , 30-Май-19, (101) –1 // Это, на самом деле, непростой вопрос, на который развёрнуто отвечать можно очень, Дон Ягон (?), 16:00 , 30-Май-19, (130) Ты про вебмакак забыл без них никуда , Аноним (55), 18:18 , 29-Май-19, (55) +2 Контейнеры2 НЕ НУЖНЫ дЕВЛЯПСЫ И ХИПСТОТА ЗЛО , псевонимус (?), 15:53 , 02-Июн-19, (162) nobigfatdaemon, Аноним (-), 13:26 , 29-Май-19, (4) Скрыто модератором, ыфективный манагер (?), 13:46 , 29-Май-19, (6) +3 // Скрыто модератором, имя (?), 14:07 , 29-Май-19, (9) +2 // Скрыто модератором, анонн (?), 14:11 , 29-Май-19, (11) +2 Скрыто модератором, Евгений Петросян (?), 14:24 , 29-Май-19, (13) +1 Скрыто модератором, Fyjybv755 (?), 15:12 , 29-Май-19, (23) –1 notabug, Аноним (7), 13:47 , 29-Май-19, (7) +3 Ну где тот аноним, который биткоинами разбрасывался месяц даже не прошел , Sw00p aka Jerom (?), 14:19 , 29-Май-19, (12) +5 // ну он вроде обещался за вылезание из контейнера, а не за эксплуатацию уязвимости, пох. (?), 14:26 , 29-Май-19, (14) // И вероятность удачи порядка 1 на попытку Очень долго придется несчастного лоха, Fyjybv755 (?), 15:09 , 29-Май-19, (22) –1 Он обещал за выход из контейнера А сабжевая жуткая мега-уязвимость предполагает, Fyjybv755 (?), 15:06 , 29-Май-19, (18) –1 // так каждый дурак может, тут идея что полномочия-то не у тебя, а используешь их -, пох. (?), 16:08 , 29-Май-19, (34) // Фигасе без спросу - сотню-другую раз подряд просить админа ну скопируй мне фа, Fyjybv755 (?), 12:42 , 30-Май-19, (113) –1 Systemd, dockers, не хватает только реестра для полного счастья , Аноним (15), 14:37 , 29-Май-19, (15) +1 // dconf, Аноним (17), 14:42 , 29-Май-19, (17) +2 C буквой s это будет другой, неправильный докер , Аноним84701 (ok), 15:06 , 29-Май-19, (19) +2 Wayland же, причем тут реестр , Аноним (28), 15:23 , 29-Май-19, (28) –1 // -- Тому не надо Windows искать, у кого он за спиной стоит почти , Andrey Mitrofanov_N0 (?), 15:44 , 29-Май-19, (30) +1 // на десктопе стоит , пох. (?), 16:09 , 29-Май-19, (35) не, за спиной rh W ibmel-а , Andrey Mitrofanov_N0 (?), 09:27 , 31-Май-19, (158) В топике ничего не сказано про systemd, чудик , Gannet (ok), 23:22 , 29-Май-19, (92) –1 Вот уязвимость так уязвимость Я аж забоялся , corvuscor (ok), 14:40 , 29-Май-19, (16) Может, проще сразу попросить рутовый доступ А что, неплохая уязвимость получает, Fyjybv755 (?), 15:08 , 29-Май-19, (20) +1 А когда выберетесь из докера, то что дальше делать будете , Аноним (21), 15:08 , 29-Май-19, (21) –1 // Если говорить о реалистичных сценариях атаки, то это не выбраться из контейнера, Fyjybv755 (?), 15:15 , 29-Май-19, (24) +1 Снова ночь и снова демоны приподнимают крышки контейнеров, оглядываются вокруг и, Какаянахренразница (ok), 15:20 , 29-Май-19, (25) +9 Вот читаю комментарии, и удивляюсь Никогда столь дырявая вещь не захватывала ум, zurapa (ok), 15:58 , 29-Май-19, (31) +10 // вот сейчас обидно получилось доскер с системд - не то что не близнецы-братья, а , пох. (?), 16:16 , 29-Май-19, (36)   // Мне не понятно Объясни , Ёж (?), 17:05 , 29-Май-19, (44)   // у тебя есть демон, работает с поднятыми привиллегиями, запускается тем у кого он, пох. (?), 17:54 , 29-Май-19, (47)   да при чём тут докер то E у меня за 2 года прода багов докера было ровно два, , вИКТОР АГН (?), 20:01 , 29-Май-19, (70) –2 // да-да-да, если у меня работает, значит не гoвно , Аноним (99), 02:37 , 30-Май-19, (99) +1 2K рпс наносекунду Толсто однако РПС - RPS - requests per second Даже если за, Аноним (150), 06:37 , 31-Май-19, (150) +1 Другими словами вы pizdobol сэр , Аноним (150), 06:39 , 31-Май-19, (151) +1 Я в своём комментарии, как бы намека явно говорю , что без systemd, с которым т, zurapa (ok), 11:56 , 31-Май-19, (159) –1 Нео путь избранного, Гномспецназ (?), 16:22 , 29-Май-19, (38) А что Freebsd с её джейламм , Аноним (41), 16:47 , 29-Май-19, (41) –1 // какой был 100 лет назад, такой и остался, пусть таким и остается, Sw00p aka Jerom (?), 17:47 , 29-Май-19, (46) –1 // кое-что все же успели испортить за последние пять - в погоне за косплеем доскера, пох. (?), 17:55 , 29-Май-19, (48) // vnet что-ли На 11 2 все ещё кидал систему в панику если в разных клетках свой p, abi (?), 20:21 , 29-Май-19, (75) в клетках пф о Боже, Sw00p aka Jerom (?), 21:58 , 29-Май-19, (83) ну а зачем вообще тебе vnet с разделяемой физической сетевухой и так все работа, пох. (?), 22:08 , 29-Май-19, (89) алиасов хватает , Sw00p aka Jerom (?), 00:19 , 30-Май-19, (94) Алиасы не нужны vhid практичней , Аноним (114), 13:33 , 30-Май-19, (119) так это и есть разделение физической сетевухи - хошь алиасами, а не хошь просто , пох. (?), 17:44 , 30-Май-19, (136) а зачем тогда pf тянуть в джейл , Sw00p aka Jerom (?), 17:56 , 30-Май-19, (140) в смысле Это способы его туда не тянуть А pf в jail можно хотеть тянуть по милл, пох. (?), 18:23 , 30-Май-19, (143) +1 О да Сорян за лёгкий некропостинг, но да, это прекрасно Ты закоммитишь - и т, Дон Ягон (ok), 01:14 , 04-Июн-19, (163) +1 Для всех в этом чатике изоляция бывает только аппаратная И то там работает соци, Аноним (55), 18:14 , 29-Май-19, (54) // Ещё дыры в интеловских процах там ничего так работают , Онаним (?), 19:45 , 29-Май-19, (66) –1 Эту вашу аппаратную изоляцию ломают чаще чем в докере дыры находят При этом её , Анонимус2 (?), 19:46 , 29-Май-19, (67) // Это изоляция , она такая же наша как и твоя И почему изоляцию ломают, а дыры , Аноним (114), 13:36 , 30-Май-19, (120) // Вот тут ты очень смешно протролил Надо запомнить Буду теперь всем DevOps ам го, zurapa (ok), 12:03 , 31-Май-19, (160) И хорошо работает Аппаратная изоляция - это программная, реализованная на уровн, Аноним (-), 21:05 , 29-Май-19, (82) Вспомнил забавный киноляп из недавнего фильма, как чел, кажется раз 7 сбегал из , Аноним (63), 19:20 , 29-Май-19, (63) // Был такой Тони Ролт Прославился еще как гонщик и тем, что для последнего побе, Аноним84701 (ok), 20:48 , 29-Май-19, (76) +2 Почему баг обработки симлинков исправляется приостановкой контейнера , sleeply4cat (ok), 19:48 , 29-Май-19, (68) // потому что твой супер контейнер должен быть stateless, и их должно быть два мини, вИКТОР АГН (?), 20:06 , 29-Май-19, (71) –2 потому что макака по другому просто не умеет Контейнер стопнула - опа, вот и ra, пох. (?), 20:17 , 29-Май-19, (74) –1 Девопсненько так В lxc проблемы нет, но девопсяры же в неё не умеют, им решеток, mumu (ok), 20:49 , 29-Май-19, (77) +4 // lxc очень сложно, нужно проходить курсы для запуска hello world, Анонимный эксперт (?), 20:52 , 29-Май-19, (78) +3 // lxc еще и очень криво, неудачный косплей виртуальной машины К ней бы runc от cle, пох. (?), 22:11 , 29-Май-19, (90) В podman тоже нет проблемы, но во многом аналогичен докеру по использованию Да , Аноним (-), 21:00 , 29-Май-19, (80) –2 // https github com rgroux exemples wiki Howto -LXC---container-without-root-priv, Аноним (108), 11:41 , 30-Май-19, (108) +1 Вообще этих контейнеров вагон и маленький вагон, но бабки нашептали только три б, Аноним (-), 21:01 , 29-Май-19, (81) // Вопрос в том, как много из них прошли аудит безопасности и стали готовы для прод, mumu (ok), 10:05 , 30-Май-19, (105) // лолшта Конечно ноль ВСЕ каравай-каравай, каку хочешь Выбирай , пох. (?), 16:14 , 30-Май-19, (134) Только то что запускают в реальной VM, как например VMware Photon , Анонимный эксперт (?), 04:30 , 31-Май-19, (149) ты еще скажи, что она проходила какой-то там аудит или что секретная технологи, пох. (?), 07:19 , 31-Май-19, (152) В systemd-nspawn тоже проблемы нет , Gannet (ok), 23:27 , 29-Май-19, (93) –1 Ну что, сколько уже смузихлебов выбралось из своего картонного контейнера Уже е, Погонщик (?), 01:05 , 30-Май-19, (95) ШОК, СЕНСАЦИЯ Найдена уязвимость во всех ОС Если иметь права root админа, то, Аноним (96), 02:23 , 30-Май-19, (96) +1 // А можно поподробнее Хочу УБИТЬ СИСТЕМУ , Аноним (100), 03:26 , 30-Май-19, (100) // Имей систему - переходи на красный , Пишу из ванны (?), 08:57 , 30-Май-19, (104) –1 Можно killall systemДерзай , Аноним (114), 13:38 , 30-Май-19, (121) // killall system , анонн (?), 14:14 , 30-Май-19, (124) Если на каждый шмокер приходится ровно по одному хосту, то не страшно конечно Н, mumu (ok), 10:06 , 30-Май-19, (106) // для деплоя же ж но так красиво получается только первые три дня - а дальше кон, пох. (?), 12:05 , 30-Май-19, (109) Убедить Да сейчас каждая вторая приблуда - нет времени объяснять, качай docker, Аноним (161), 18:20 , 01-Июн-19, (161) Используйте для изоляции харденед chroot от grsecurity net, Anonim (??), 10:12 , 10-Июн-19, (164) 1,4,7,12,15,16,20,21,25,31,38,41,54,63,68,77,95,96,161,164

Сообщения

[Сортировка по времени | RSS]

	36. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 29-Май-19, 16:16
	> и про systemd, как он внедрялся, без которого docker не столь привлекательным становится. вот сейчас обидно получилось! доскер с системд - не то что не близнецы-братья, а вообще друг-друга не любят. При запуске изнутри доскера, у системды есть специальный детект, который при этом ее ломает нахрен (можно починить но не нужно - для того и сделано ,чтоб так не запускали - просто так работать не будет, нужен костылепердолинг. one true init, заметьте, будет) Менеджмент доскер-контейнеров системдой невозможен нормально by design, только кривыми костылепрокладками - что и вызвало к жизни редхатовский "почти такой же, только не демон" (хотя ежу понятно что это решение всем хуже). Поменять параметры запуска доскеру до системды можно было отдельным человекочитаемым конфигом (поскольку их читал скрипт), сейчас - только оверрайдом юнита, со всеми побочными эффектами (включая и то что человекочитаемым это не является, поскольку потроха сцыстемды перемешиваются с настройками приложения), ведь сцыстемда не умеет файлы с параметрами, а доскер как обычно недоделан, и не все то что можно пооверрайдить командной строкой, допустимо в конфиге.
	Ответить | Правка | Наверх | Cообщить модератору

	44. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Ёж (?), 29-Май-19, 17:05
	> хотя ежу понятно что это решение всем хуже Мне не понятно! Объясни!
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 29-Май-19, 17:54
	у тебя есть демон, работает с поднятыми привиллегиями, запускается тем у кого они есть, может самостоятельно после этого сбросить лишние (ему видней, какие на самом деле нужны), no user-serviceable parts inside. И отдельно cli, не требующий лишних прав, общающийся с демоном через лимитированный интерфейс (docker socket). Очевидно, что это и более надежное, и более управляемое (единственная точка входа - сокет, на которую можно аккуратно раздать права кому надо) и более компактное решение, вполне себе, между нами, unixway. Если б еще и работало, цены б ему не было, но тут как всегда. Редгад берет и запихивает это все в юзеро-исполняемую программу чохом. Только потому, что его чудо-система инициализации не может нормально с тем демоном взаимодействовать, и не понимает, работает ли еще контейнер или уже сдох. (хотя это вообще не ее собачье дело, между прочим - но вот перехода в состояние running было бы неплохо и дождаться, если от его работы еще что-то у нас зависит. А опаньки, не обучено оно таким сложным проверкам.)
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема