Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Docker, позволяющая выбраться из контейнера, opennews (??), 29-Май-19, (0) [смотреть все] Ждем комментаторов с искрометными шутками про девляпсов и контейнеры нинужны , Аноним (1), 13:22 , 29-Май-19, (1) +19 // Контейнеры нинужны, у меня на Windows 10 ничего не изолировано и работает , КэГэБэ эСэСэСэР (?), 13:25 , 29-Май-19, (2) +10 // И тебе нечего скрывать , Аноним (42), 16:54 , 29-Май-19, (42) +8 Ничего кроме тебя самого , VINRARUS (ok), 18:32 , 29-Май-19, (58) –2 Дыркер -- он про сак-сцесс и искромётные комментарии https www opennet, Andrey Mitrofanov_N0 (?), 13:26 , 29-Май-19, (3) // поставил тебе - -- первый -- безумный -- Текст второй безум, Аноним (64), 19:35 , 29-Май-19, (64) –1 Митрофаныч, у тебя учетку на опеннетике угнали что ли , Васян (?), 17:47 , 30-Май-19, (137) // Граждане, это поддельный Митрофанушко , Васян (?), 17:49 , 30-Май-19, (138) –1 Почему это не нужны Это хорошый способ предотвратить возможность какому-нибудь , Аноним (5), 13:30 , 29-Май-19, (5) +5 // Этот кейс требует изоляции только на уровне файловой системы, что легко решается, Аноним (40), 16:37 , 29-Май-19, (40) +3 // Да, но инфраструктура более легковесных в плане ресурсов решений оказывается бол, freehck (ok), 18:31 , 29-Май-19, (57) +1 Вопрос лишь о том, зачем под доскер подстилать большую юникс-подобную систему, п, Anonymoustus (ok), 19:03 , 29-Май-19, (60) Анонимаустус, а каким боком и что именно докер сломал-то , freehck (ok), 19:53 , 29-Май-19, (69) –2 Не доскер сломал, а те, кто из линукса делают корпоративную пускалку для доскеро, Anonymoustus (ok), 20:12 , 29-Май-19, (73) +1 Никсы нужны для того, чтобы ими пользоваться, причём - как _угодно_, так и польз, IRASoldier_registered (ok), 02:34 , 30-Май-19, (98) –4 Здесь у нас, похоже, ещё один опоздавший родиться, не читавший ни Реймонда, ни К, Anonymoustus (ok), 07:17 , 30-Май-19, (102) Ой, а в чём, расскажИте А то вы может тоже похоже не читали , Аноним (114), 13:25 , 30-Май-19, (114) –2 Эти ссылки не для тебя, невежливый аноним, ты всё равно читать не будешь Это дл, Anonymoustus (ok), 13:28 , 30-Май-19, (116) Про macOS и Все те маленькие sh, awk, sed, vi vim и пр и не очень маленькие , Andrey Mitrofanov_N0 (?), 08:49 , 31-Май-19, (154) https www opengroup org openbrand registerЕсли бы ты пользовался Маком, ты бы , Anonymoustus (ok), 09:03 , 31-Май-19, (155) И не для того, чтобы молиться на священные книги предков и основателей Предн, IRASoldier_registered (ok), 18:09 , 30-Май-19, (141) –3 Ты книжки почитай по моим ссылкам, проникнись, _пойми_ наконец, _что такое_ Юник, Anonymoustus (ok), 18:28 , 30-Май-19, (144) Книжки-то интересные И читанные Но _дискуссия_ не имеет никакого реального смы, IRASoldier_registered (ok), 20:10 , 30-Май-19, (145) –2 Главное было в рисёрче на авось продажникам AT T прокатит Чего бы там академия, Andrey Mitrofanov_N0 (?), 08:41 , 31-Май-19, (153) Юникс изначально делали не для продажи для продажи там были другие товары и усл, Anonymoustus (ok), 09:12 , 31-Май-19, (156) И где теперь все те никсы для корпоративных задач которыми пользовались Гуса, анонн (?), 13:28 , 30-Май-19, (117) +1 Самые распространенные в этом сегменте дистрибутивы линуксов бсд - ну да ты ж , IRASoldier_registered (ok), 17:55 , 30-Май-19, (139) –1 И это отвечает на какой вопрос Помимо того, что если даже забыть о Linux is not, анонн (?), 18:11 , 30-Май-19, (142) Какой-то уход разговора в сторону и кашеобразие С чего началось Началось с тог, IRASoldier_registered (ok), 20:29 , 30-Май-19, (146) –1 Сделали уже Маленькая пускалка для dockerhttps rancher com rancher-os , Anonymouss (?), 20:53 , 29-Май-19, (79) –2 Потому что это не правильный подход Надо не систему бутстрапить, а сбандлить с , Аноним (103), 08:29 , 30-Май-19, (103) Плюсую А ещё деплой удобнее в разы становится , freehck (ok), 18:28 , 29-Май-19, (56) // Скрыто модератором, пох. (?), 20:11 , 29-Май-19, (72) +1 Скрыто модератором, хотел спросить (?), 22:05 , 29-Май-19, (86) Скрыто модератором, пох. (?), 22:13 , 29-Май-19, (91) Скрыто модератором, хотел спросить (?), 02:28 , 30-Май-19, (97) –2 Скрыто модератором, пох. (?), 13:54 , 30-Май-19, (122) Скрыто модератором, хотел спросить (?), 21:54 , 30-Май-19, (147) –2 Если писать код абсолютно правильно, то контейнеры не особо то и нужны Но с ним, Аноним (8), 13:49 , 29-Май-19, (8) +3 // максималист детектед Возвращайся в мир собственных фантазий, kai3341 (ok), 14:07 , 29-Май-19, (10) +1 Контейнеры были придуманы для разделения ресурсов между сервисами, выполняющимис, Аноним (40), 16:27 , 29-Май-19, (39) +1 // да ну нах Я-то думал для разделения ресурсов были придуманы многозадачные опера, пох. (?), 22:06 , 29-Май-19, (87) +3 systemd-nspawn, SysA (?), 17:27 , 30-Май-19, (135) –1 Если использовать java EE, то доцкер не нужен Может есть и другие вменяемые пла, лютый жабист__ (?), 18:44 , 29-Май-19, (59) –3 // угу, вместо сравнительно дешевого девляпса надо кормить наглого и распухшего от , пох. (?), 14:09 , 30-Май-19, (123) +1 У девляпсов копирование файлов в контейнер точнее, образ выполняется только , Fyjybv755 (?), 15:22 , 29-Май-19, (27) +1 // объявленные те что персистентны, а не каждый раз вручную deprecated пять лет н, пох. (?), 16:07 , 29-Май-19, (33) –2 // И чем заменять предлагают , Анониим (?), 17:00 , 29-Май-19, (43) как обычно, ничем - как, вы не слышали в какой криокамере вы спали standalone, пох. (?), 17:58 , 29-Май-19, (49) –1 в k8s все тем более через volume-ы делается, Аноним (53), 18:13 , 29-Май-19, (53) +2 Судя по его комментам в этом обсуждении, докер он видел только на картин Wвинде,, Fyjybv755 (?), 12:41 , 30-Май-19, (112) –1 ваш сварм - такое же устаревшее ненужно, уже выкинутое ляпателями доскера в помо, пох. (?), 14:16 , 30-Май-19, (125) Осталось найти девопса и убедить его сто раз скачать файл из работающего контейн, sailorCat (?), 17:37 , 29-Май-19, (45) ну нет, зачем же так - надо найти девопса с десятью тысячами контейнеров, и как-, пох. (?), 18:00 , 29-Май-19, (50) Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации и чуть что - , Fyjybv755 (?), 12:39 , 30-Май-19, (111) –1 Зачем ты приписываешь свои слова другим На практике проще Но не правильней Потом, Аноним (114), 13:31 , 30-Май-19, (118) ну нет, зачем же - он как раз автоматически наш эксплойт и запустит, вручную-то , пох. (?), 14:22 , 30-Май-19, (126) docker cp Нет, не запустит В процессе продового деплоя отладочным операциям не, Fyjybv755 (?), 15:52 , 30-Май-19, (128) –1 ага, перезапускать до посинения прода, после - обновить резюме так же, как мы ра, пох. (?), 16:08 , 30-Май-19, (132) Где вы такую траву берете Или вы машину времени украли и пишете из 2030 года , Анонимус2 (?), 19:38 , 29-Май-19, (65) +1 Не машину, а вагон времени Всё это ваше ГНУ именно про вагон бесплатного чужого, Аноним (114), 13:27 , 30-Май-19, (115) Сестра, тампоны В треде ушибленный ГНУ 1У тебя ушиб, если ты девляпсы выше п, Andrey Mitrofanov_N0 (?), 09:21 , 31-Май-19, (157) О, сразу видно великого спеца по девляпсам Контейнеры, значит, вручную создаете, Fyjybv755 (?), 12:35 , 30-Май-19, (110) сразу видно великого спеца-девляпса, он даже не понял что речь о персистентных т, пох. (?), 14:25 , 30-Май-19, (127) Нет, я не понял, нафига вообще нужны персистентные тома Еще раз список томов в, Fyjybv755 (?), 16:07 , 30-Май-19, (131) –2 в этой- низачем, поэтому поломано и починено не будет Как и много чего еще, бр, пох. (?), 16:11 , 30-Май-19, (133) +1 Не каждому разработчику удаётся выбраться из контейнера на оплачиваемую работу , Канделябры (?), 16:02 , 29-Май-19, (32) +11 // Хьело фрём Индия, дрюгь Ми написале харёши кёд для твая видиёкартачкя, дрюгь Т, Аноним (52), 18:10 , 29-Май-19, (52) +2 Жаль, что тебе и подобным не понятно, что это не шутки в целом Контейнеры сами п, Дон Ягон (?), 16:17 , 29-Май-19, (37) +2 // какая разница между концепцией контейнеров, ее реализацией в докере и линуксовым, виндотролль (ok), 06:44 , 30-Май-19, (101) –1 // Это, на самом деле, непростой вопрос, на который развёрнуто отвечать можно очень, Дон Ягон (?), 16:00 , 30-Май-19, (130) Ты про вебмакак забыл без них никуда , Аноним (55), 18:18 , 29-Май-19, (55) +2 Контейнеры2 НЕ НУЖНЫ дЕВЛЯПСЫ И ХИПСТОТА ЗЛО , псевонимус (?), 15:53 , 02-Июн-19, (162) nobigfatdaemon, Аноним (-), 13:26 , 29-Май-19, (4) Скрыто модератором, ыфективный манагер (?), 13:46 , 29-Май-19, (6) +3 // Скрыто модератором, имя (?), 14:07 , 29-Май-19, (9) +2 // Скрыто модератором, анонн (?), 14:11 , 29-Май-19, (11) +2 Скрыто модератором, Евгений Петросян (?), 14:24 , 29-Май-19, (13) +1 Скрыто модератором, Fyjybv755 (?), 15:12 , 29-Май-19, (23) –1 notabug, Аноним (7), 13:47 , 29-Май-19, (7) +3 Ну где тот аноним, который биткоинами разбрасывался месяц даже не прошел , Sw00p aka Jerom (?), 14:19 , 29-Май-19, (12) +5 // ну он вроде обещался за вылезание из контейнера, а не за эксплуатацию уязвимости, пох. (?), 14:26 , 29-Май-19, (14) // И вероятность удачи порядка 1 на попытку Очень долго придется несчастного лоха, Fyjybv755 (?), 15:09 , 29-Май-19, (22) –1 Он обещал за выход из контейнера А сабжевая жуткая мега-уязвимость предполагает, Fyjybv755 (?), 15:06 , 29-Май-19, (18) –1 // так каждый дурак может, тут идея что полномочия-то не у тебя, а используешь их -, пох. (?), 16:08 , 29-Май-19, (34) // Фигасе без спросу - сотню-другую раз подряд просить админа ну скопируй мне фа, Fyjybv755 (?), 12:42 , 30-Май-19, (113) –1 Systemd, dockers, не хватает только реестра для полного счастья , Аноним (15), 14:37 , 29-Май-19, (15) +1 // dconf, Аноним (17), 14:42 , 29-Май-19, (17) +2 C буквой s это будет другой, неправильный докер , Аноним84701 (ok), 15:06 , 29-Май-19, (19) +2 Wayland же, причем тут реестр , Аноним (28), 15:23 , 29-Май-19, (28) –1 // -- Тому не надо Windows искать, у кого он за спиной стоит почти , Andrey Mitrofanov_N0 (?), 15:44 , 29-Май-19, (30) +1 // на десктопе стоит , пох. (?), 16:09 , 29-Май-19, (35) не, за спиной rh W ibmel-а , Andrey Mitrofanov_N0 (?), 09:27 , 31-Май-19, (158) В топике ничего не сказано про systemd, чудик , Gannet (ok), 23:22 , 29-Май-19, (92) –1 Вот уязвимость так уязвимость Я аж забоялся , corvuscor (ok), 14:40 , 29-Май-19, (16) Может, проще сразу попросить рутовый доступ А что, неплохая уязвимость получает, Fyjybv755 (?), 15:08 , 29-Май-19, (20) +1 А когда выберетесь из докера, то что дальше делать будете , Аноним (21), 15:08 , 29-Май-19, (21) –1 // Если говорить о реалистичных сценариях атаки, то это не выбраться из контейнера, Fyjybv755 (?), 15:15 , 29-Май-19, (24) +1 Снова ночь и снова демоны приподнимают крышки контейнеров, оглядываются вокруг и, Какаянахренразница (ok), 15:20 , 29-Май-19, (25) +9 Вот читаю комментарии, и удивляюсь Никогда столь дырявая вещь не захватывала ум, zurapa (ok), 15:58 , 29-Май-19, (31) +10 // вот сейчас обидно получилось доскер с системд - не то что не близнецы-братья, а , пох. (?), 16:16 , 29-Май-19, (36) // Мне не понятно Объясни , Ёж (?), 17:05 , 29-Май-19, (44)   // у тебя есть демон, работает с поднятыми привиллегиями, запускается тем у кого он, пох. (?), 17:54 , 29-Май-19, (47)   да при чём тут докер то E у меня за 2 года прода багов докера было ровно два, , вИКТОР АГН (?), 20:01 , 29-Май-19, (70) –2 // да-да-да, если у меня работает, значит не гoвно , Аноним (99), 02:37 , 30-Май-19, (99) +1 2K рпс наносекунду Толсто однако РПС - RPS - requests per second Даже если за, Аноним (150), 06:37 , 31-Май-19, (150) +1 Другими словами вы pizdobol сэр , Аноним (150), 06:39 , 31-Май-19, (151) +1 Я в своём комментарии, как бы намека явно говорю , что без systemd, с которым т, zurapa (ok), 11:56 , 31-Май-19, (159) –1 Нео путь избранного, Гномспецназ (?), 16:22 , 29-Май-19, (38) А что Freebsd с её джейламм , Аноним (41), 16:47 , 29-Май-19, (41) –1 // какой был 100 лет назад, такой и остался, пусть таким и остается, Sw00p aka Jerom (?), 17:47 , 29-Май-19, (46) –1 // кое-что все же успели испортить за последние пять - в погоне за косплеем доскера, пох. (?), 17:55 , 29-Май-19, (48) // vnet что-ли На 11 2 все ещё кидал систему в панику если в разных клетках свой p, abi (?), 20:21 , 29-Май-19, (75) в клетках пф о Боже, Sw00p aka Jerom (?), 21:58 , 29-Май-19, (83) ну а зачем вообще тебе vnet с разделяемой физической сетевухой и так все работа, пох. (?), 22:08 , 29-Май-19, (89) алиасов хватает , Sw00p aka Jerom (?), 00:19 , 30-Май-19, (94) Алиасы не нужны vhid практичней , Аноним (114), 13:33 , 30-Май-19, (119) так это и есть разделение физической сетевухи - хошь алиасами, а не хошь просто , пох. (?), 17:44 , 30-Май-19, (136) а зачем тогда pf тянуть в джейл , Sw00p aka Jerom (?), 17:56 , 30-Май-19, (140) в смысле Это способы его туда не тянуть А pf в jail можно хотеть тянуть по милл, пох. (?), 18:23 , 30-Май-19, (143) +1 О да Сорян за лёгкий некропостинг, но да, это прекрасно Ты закоммитишь - и т, Дон Ягон (ok), 01:14 , 04-Июн-19, (163) +1 Для всех в этом чатике изоляция бывает только аппаратная И то там работает соци, Аноним (55), 18:14 , 29-Май-19, (54) // Ещё дыры в интеловских процах там ничего так работают , Онаним (?), 19:45 , 29-Май-19, (66) –1 Эту вашу аппаратную изоляцию ломают чаще чем в докере дыры находят При этом её , Анонимус2 (?), 19:46 , 29-Май-19, (67) // Это изоляция , она такая же наша как и твоя И почему изоляцию ломают, а дыры , Аноним (114), 13:36 , 30-Май-19, (120) // Вот тут ты очень смешно протролил Надо запомнить Буду теперь всем DevOps ам го, zurapa (ok), 12:03 , 31-Май-19, (160) И хорошо работает Аппаратная изоляция - это программная, реализованная на уровн, Аноним (-), 21:05 , 29-Май-19, (82) Вспомнил забавный киноляп из недавнего фильма, как чел, кажется раз 7 сбегал из , Аноним (63), 19:20 , 29-Май-19, (63) // Был такой Тони Ролт Прославился еще как гонщик и тем, что для последнего побе, Аноним84701 (ok), 20:48 , 29-Май-19, (76) +2 Почему баг обработки симлинков исправляется приостановкой контейнера , sleeply4cat (ok), 19:48 , 29-Май-19, (68) // потому что твой супер контейнер должен быть stateless, и их должно быть два мини, вИКТОР АГН (?), 20:06 , 29-Май-19, (71) –2 потому что макака по другому просто не умеет Контейнер стопнула - опа, вот и ra, пох. (?), 20:17 , 29-Май-19, (74) –1 Девопсненько так В lxc проблемы нет, но девопсяры же в неё не умеют, им решеток, mumu (ok), 20:49 , 29-Май-19, (77) +4 // lxc очень сложно, нужно проходить курсы для запуска hello world, Анонимный эксперт (?), 20:52 , 29-Май-19, (78) +3 // lxc еще и очень криво, неудачный косплей виртуальной машины К ней бы runc от cle, пох. (?), 22:11 , 29-Май-19, (90) В podman тоже нет проблемы, но во многом аналогичен докеру по использованию Да , Аноним (-), 21:00 , 29-Май-19, (80) –2 // https github com rgroux exemples wiki Howto -LXC---container-without-root-priv, Аноним (108), 11:41 , 30-Май-19, (108) +1 Вообще этих контейнеров вагон и маленький вагон, но бабки нашептали только три б, Аноним (-), 21:01 , 29-Май-19, (81) // Вопрос в том, как много из них прошли аудит безопасности и стали готовы для прод, mumu (ok), 10:05 , 30-Май-19, (105) // лолшта Конечно ноль ВСЕ каравай-каравай, каку хочешь Выбирай , пох. (?), 16:14 , 30-Май-19, (134) Только то что запускают в реальной VM, как например VMware Photon , Анонимный эксперт (?), 04:30 , 31-Май-19, (149) ты еще скажи, что она проходила какой-то там аудит или что секретная технологи, пох. (?), 07:19 , 31-Май-19, (152) В systemd-nspawn тоже проблемы нет , Gannet (ok), 23:27 , 29-Май-19, (93) –1 Ну что, сколько уже смузихлебов выбралось из своего картонного контейнера Уже е, Погонщик (?), 01:05 , 30-Май-19, (95) ШОК, СЕНСАЦИЯ Найдена уязвимость во всех ОС Если иметь права root админа, то, Аноним (96), 02:23 , 30-Май-19, (96) +1 // А можно поподробнее Хочу УБИТЬ СИСТЕМУ , Аноним (100), 03:26 , 30-Май-19, (100) // Имей систему - переходи на красный , Пишу из ванны (?), 08:57 , 30-Май-19, (104) –1 Можно killall systemДерзай , Аноним (114), 13:38 , 30-Май-19, (121) // killall system , анонн (?), 14:14 , 30-Май-19, (124) Если на каждый шмокер приходится ровно по одному хосту, то не страшно конечно Н, mumu (ok), 10:06 , 30-Май-19, (106) // для деплоя же ж но так красиво получается только первые три дня - а дальше кон, пох. (?), 12:05 , 30-Май-19, (109) Убедить Да сейчас каждая вторая приблуда - нет времени объяснять, качай docker, Аноним (161), 18:20 , 01-Июн-19, (161) Используйте для изоляции харденед chroot от grsecurity net, Anonim (??), 10:12 , 10-Июн-19, (164) 1,4,7,12,15,16,20,21,25,31,38,41,54,63,68,77,95,96,161,164

Сообщения

[Сортировка по времени | RSS]

	44. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Ёж (?), 29-Май-19, 17:05
	> хотя ежу понятно что это решение всем хуже Мне не понятно! Объясни!
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 29-Май-19, 17:54
	у тебя есть демон, работает с поднятыми привиллегиями, запускается тем у кого они есть, может самостоятельно после этого сбросить лишние (ему видней, какие на самом деле нужны), no user-serviceable parts inside. И отдельно cli, не требующий лишних прав, общающийся с демоном через лимитированный интерфейс (docker socket). Очевидно, что это и более надежное, и более управляемое (единственная точка входа - сокет, на которую можно аккуратно раздать права кому надо) и более компактное решение, вполне себе, между нами, unixway. Если б еще и работало, цены б ему не было, но тут как всегда. Редгад берет и запихивает это все в юзеро-исполняемую программу чохом. Только потому, что его чудо-система инициализации не может нормально с тем демоном взаимодействовать, и не понимает, работает ли еще контейнер или уже сдох. (хотя это вообще не ее собачье дело, между прочим - но вот перехода в состояние running было бы неплохо и дождаться, если от его работы еще что-то у нас зависит. А опаньки, не обучено оно таким сложным проверкам.)
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема