| 1.1, Аноним (-), 12:04, 20/06/2014 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Ну вот, такая страшилка с интересным эксплойтом... и приписка "В Docker 1.0 проблема не проявляется".
| | |
| |
| |
| 3.11, rob pike (?), 16:08, 20/06/2014 [^] [^^] [^^^] [ответить]
| +4 +/– |
Новый модный подход к security.
Выпускать новые версии быстрее чем к старым успевают написать эксплойт.
| | |
| |
| 4.13, Константавр (ok), 16:59, 20/06/2014 [^] [^^] [^^^] [ответить]
| +5 +/– |
 Так вот зачем в опенсорсе постоянно всё переписывают и ломают! Они же как зайцы - следы спутывают :)
| | |
| |
| 5.16, tessel (?), 18:04, 20/06/2014 [^] [^^] [^^^] [ответить]
| +/– |
То ли дело ссаный энтерпрайз, где баги бережно консервируют и ни в коем случае не исправляют, усиленно строя анальные ограждения вокруг баги.
| | |
| |
| 6.20, Аноним (-), 19:30, 20/06/2014 [^] [^^] [^^^] [ответить]
| –1 +/– |
…тщательно документируют их и приводят несколько workaround'ов в печатном руководстве пользователя.
| | |
|
|
|
|
|
| 1.3, Аноним (-), 13:32, 20/06/2014 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– | |
А вот что пишут об этом разработчики Docker:
Hi all, I'm a maintainer of Docker. As others already indicated this doesn't work on 1.0. But it could have.
Please remember that at this time, we don't claim Docker out-of-the-box is suitable for containing untrusted programs with root privileges. So if you're thinking "pfew, good thing we upgraded to 1.0 or we were toast", you need to change your underlying configuration now. Add apparmor or selinux containment, map trust groups to separate machines, or ideally don't grant root access to the application.
Docker will soon support user namespaces, which is a great additional security layer but also not a silver bullet!
When we feel comfortable saying that Docker out-of-the-box can safely contain untrusted uid0 programs, we will say so clearly.
| | |
| |
| 2.4, Motif (ok), 14:01, 20/06/2014 [^] [^^] [^^^] [ответить]
| +2 +/– |
 >we don't claim Docker out-of-the-box is suitable for containing untrusted programs with root privileges
>Add apparmor or selinux containment
И кому они такие красивые нужны? SELinux и без них работает.
| | |
| |
| 3.6, Аноним (-), 14:34, 20/06/2014 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> SELinux и без них работает.
И вырубается каждым первым сплойтом. А пару раз авторы сплойтов его даже благодарили за помощь. В общем соотношение геморности настройки оного vs результаты - совершенно не впечатляют.
| | |
| |
| |
| 5.30, Аноним (-), 05:11, 21/06/2014 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> Пруф, или небыло.
Посмотри исходники любого боевого сплойта на повышение прав и т.п. - там обычно вынос SELinux (а иногда и иных систем, e.g. AppArmor-а) первым делом прописаны, чтобы под ногами не мешался.
Но если тебе мало - получай, nobrainer: https://lwn.net/Articles/341773/ - там подробно изложено что хаксоры думают про SELinux. И это мнение не самое вкусное. По факту SELinux в этом эксплойте ПОМОГАЛ поиметь систему :D.
А вот настраивать эту хреноту от АНБ очень геморно. Ну АНБ оно понятно зачем - у них там вполне конкретный регламент доступа к документам и внутренние процедуры требуют мандатный контроль. Если в системе нет мандатного контроля - они не будут системой пользоваться. А вот зачем всем остальным этот кластерфак при таком соотношении затрат усилий к результату - загадка природы. Над ними то регламент предписывающий копать от забора и до обеда не висит...
| | |
| |
| 6.36, CssfPZS (ok), 13:50, 21/06/2014 [^] [^^] [^^^] [ответить]
| +1 +/– |
 >получай, nobrainer: https://lwn.net/Articles/341773/
Я конечно понимаю, что у таких кукаретиков как ты, проблемы с чтением, но
в приведенном тобой линке идет речь про баг в ядре, который затрагивает
целый ряд его внутренних подистем безопастности и НЕ ЯВЛЯЕТСЯ SELinux СПЕЦИФИЧНЫМ.
Короче дорога тебе одна, в биореактор.
| | |
|
|
|
| |
| |
| 5.33, Аноним (-), 05:23, 21/06/2014 [^] [^^] [^^^] [ответить]
| +/– | |
> Саккез стори нету.
Так это то и хорошо :). Потому что обычно их пишут хаксоры которым удалось прорубиться в систему :). А когда все просто работает - какое там success story?
| | |
|
|
| 3.18, Michael Shigorin (ok), 19:24, 20/06/2014 [^] [^^] [^^^] [ответить]
| –1 +/– |
 > И кому они такие красивые нужны? SELinux и без них работает.
Только скорее не selinux, а openvz тогда.
| | |
| |
| 4.24, Аноним (-), 00:40, 21/06/2014 [^] [^^] [^^^] [ответить]
| +/– |
Michael,
openvz (при всём моем к нему!) таки из другой оперы чем lxc.
Удивлён чёй ты мешаешь самогон с коньяком 8-\
| | |
| |
| 5.26, Led (ok), 01:38, 21/06/2014 [^] [^^] [^^^] [ответить]
| +/– |
 > openvz (при всём моем к нему!) таки из другой оперы чем lxc.
Судя по всему, вы абсолютно "не в теме". Он из "той же оперы". И сабж к нему точто так же применим.
| | |
| |
| 6.27, Аноним (-), 03:29, 21/06/2014 [^] [^^] [^^^] [ответить]
| –1 +/– |
:-\ Да как же в той же?! Там всё на других механизмах сляпано, всё!
А впрочем - как скажете :)
| | |
| |
| 7.31, Аноним (-), 05:17, 21/06/2014 [^] [^^] [^^^] [ответить]
| +/– | |
> Там всё на других механизмах сляпано, всё!
IIRC идея была в том чтобы максимально переехать на услуги майнлайнового ядра, дописывая только то чего не хватило.
| | |
|
|
|
|
|
|
| 1.5, odity (?), 14:01, 20/06/2014 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Че то читал код и е понял. он выходил за пределы памяти путем переполнения ? Ну это же , хм...
| | |
| |
| 2.7, Аноним (-), 14:35, 20/06/2014 [^] [^^] [^^^] [ответить]
| +/– | |
> он выходил за пределы памяти путем переполнения ?
Это где такое? File:line плиз.
| | |
|
| 1.9, Аноним (-), 15:27, 20/06/2014 [ответить] [﹢﹢﹢] [ · · · ]
| –4 +/– |
docker дырявый, linux дырявый, qubesos Рутковской на xen'e который тоже дырявый. Как дальше жить?
| | |
| |
| 2.10, Психиатр (ok), 15:34, 20/06/2014 [^] [^^] [^^^] [ответить]
| –1 +/– |
 openssl дырявый, php дырявый, c/c++ сам по себе дырявый (в кривых руках) ... * тоже дырявый
Как дальше жить?
Только деревянные счёты, печатные книги, бумажные документы в стальном сейфе (упс, сейф тоже дырявый, брутфорсом их ломаютЬ) , да уж, я таки не знаю как дальше жить ...
| | |
| |
| 3.28, Аноним (-), 03:38, 21/06/2014 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Led ты чего возбудился так? Обычной чмошный ноющий тролько, а у тебя прям ... эрекция :)
| | |
|
| 2.32, Аноним (-), 05:19, 21/06/2014 [^] [^^] [^^^] [ответить]
| +/– |
> docker дырявый, linux дырявый, qubesos Рутковской на xen'e который тоже дырявый. Как
> дальше жить?
Выкопать бункер на километровой глубине. И никакой электроники. Даже счеты лучше выбросить. На всякий случай.
| | |
|
| |
| 2.35, Anonym2 (?), 09:23, 21/06/2014 [^] [^^] [^^^] [ответить]
| +/– |
Хотя всё равно не уязвимость, как здесь уже замечалось... :-)
(контейнеры не предотвращают подобного рода доступ).
| | |
|
|
