"Уязвимость в Buildah и Podman, позволяющая обойти изоляцию контейнера"
 Вариант для распечатки |
Пред. тема | След. тема | ||
| Форум Разговоры, обсуждение новостей | |||
|---|---|---|---|
| Изначальное сообщение | [ Отслеживать ] | ||
| "Уязвимость в Buildah и Podman, позволяющая обойти изоляцию контейнера" | +/– |  |
| Сообщение от opennews (??), 18-Мрт-24, 22:38 | ||
В пакетах Buildah и Podman выявлена уязвимость (CVE-2024-1753), позволяющая получить полный доступ к файловой системе хост-окружения на стадии сборки контейнера, запускаемого с правами root. На системах с включённым SELinux доступ к хостовой ФС ограничивается режимом только чтения. Исправление пока доступно в виде патча, который несколько минут назад принят в кодовую базу Buildah... | ||
| Ответить | Правка | Cообщить модератору | ||
| Оглавление |
| Сообщения | [Сортировка по ответам | RSS] |
| 1. Сообщение от Аноним (1), 18-Мрт-24, 22:38 | +1 +/– | |
Именно поэтому контейнеры нужно собирать с помощью kaniko. Разумеется, из контейнера. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #2 | ||
2.
Сообщение от Alex Gluck (?), 18-Мрт-24, 22:57
| +/– |  |
Нет не нужно, продолжайте собирать контейнеры buildah из контейнера и проблема вас не затронет. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #1 | ||
| 3. Сообщение от Анонимус3000 (?), 18-Мрт-24, 23:22 | +/– | |
mount=type=bind,rw,source=/etc2,destination=/etc2 | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #4 | ||
| 4. Сообщение от Аноним (1), 19-Мрт-24, 00:08 | +/– | |
Это символьная ссылка, взятая из предыдущей стадии сборки. Из-за дыры в buildah она интерпретируется как точка монтирования файловой системы хоста. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #3 | ||
| 7. Сообщение от Аноним (7), 19-Мрт-24, 00:34 | –1 +/– | |
>исходный каталог для монтирования оформлен в виде символической ссылки на корневую ФС. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 10. Сообщение от Аноним (10), 19-Мрт-24, 04:02 | +/– | |
Зачем контейнеры собирать на продакшене, если есть возможность использовать другие, менее критические среды? Вот говорят что под рутом нельзя пакеты собирать, я в виртуалке пакеты собираю, если что-то потрется из снапшота или бэкапа восстановлю. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #25 | ||
|
25.
Сообщение от RarogCmex2 (?), 19-Мрт-24, 08:22
| +3 +/– |  |
Получить вирус в стейджинг тоже ничего хорошего | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #10 Ответы: #27 | ||
| 26. Сообщение от Аноним (-), 19-Мрт-24, 09:35 Скрыто ботом-модератором | +1 +/– | |
| Ответить | Правка | Наверх | Cообщить модератору | ||
| 27. Сообщение от Аноним (-), 19-Мрт-24, 11:31 | +/– | |
Так для этого надо самому собирать, а не из FROM. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #25 | ||
| 28. Сообщение от anonymous (??), 19-Мрт-24, 13:22 | +/– | |
Потому что надо было назвать программу builder и не выпендриваться. | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Ответы: #30 | ||
| 30. Сообщение от Аноним (1), 19-Мрт-24, 14:39 | +/– | |
А как же очаровательный реднековский колорит? | ||
| Ответить | Правка | Наверх | Cообщить модератору | ||
| Родитель: #28 | ||
|
Архив | Удалить |
Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема |
