The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Уязвимости во FreeBSD, позволяющие обойти ограничения jail-окружений, opennews (?), 24-Фев-21, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


1. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +6 +/
Сообщение от James Bond (?), 24-Фев-21, 12:02 
Не только докер оказался решет0м
Ответить | Правка | Наверх | Cообщить модератору

2. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  –7 +/
Сообщение от Аноним (2), 24-Фев-21, 12:03 
с хрустом так не было бы!
Ответить | Правка | Наверх | Cообщить модератору

3. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +/
Сообщение от Аноним (3), 24-Фев-21, 12:05 
блдж когда уже «Не время умирать» выйдет?!
Ответить | Правка | Наверх | Cообщить модератору

73. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +5 +/
Сообщение от Аноним (73), 24-Фев-21, 17:59 
С хрустом небыло бы вообще ничего. Как ничего до сих пор и нет.
Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

81. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +4 +/
Сообщение от Аноним (81), 24-Фев-21, 19:12 
Так это и есть высшая степень надёжности! Если ничего нет, то ничего и не сломаешь :-)
Ответить | Правка | Наверх | Cообщить модератору

80. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +/
Сообщение от Umata (?), 24-Фев-21, 19:09 
Что за хруст? Под капотом?
Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

16. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +15 +/
Сообщение от Аноним (16), 24-Фев-21, 13:20 
> Не только докер оказался решет0м

Главное, только дальше заголовка не читай ...

> jail_remove(2) includes a loop that sends SIGKILL to all processes
> in a jail, but skips processes in PRS_NEW state.  Thus it is possible
> the a process in mid-fork(2) during jail removal can survive the jail
> being removed.

--
> A process running inside a jail can avoid being killed during jail termination.
> If a jail is subsequently started with the same root path, a lingering jailed process may be able to exploit the window during which a devfs filesystem is mounted but the jail's devfs ruleset has not been applied, to access device nodes which are ordinarily inaccessible.

Делов-то - иметь рут, иметь монтирование devfs вообще, потом подгадать момент, когда jail решат прихлопнуть и сделать массовй форк, затем подгадать момент, когда запустят такой же и в промежуток времени между монтированием devfs и применением правил ...

Совсем то же самое что и
>  повышение привилегий (выполнение кода с правами root) в процессе декодирования специально оформленных архивов LZMA (.xz);
> проблемы с проверкой идентификатора образа контейнера, которые могут быть использованы для подмены загружаемого из репозитория образа или выхода за пределы допустимого файлового пути.
> возможность записи во внешние части ФС и выхода за пределы контейнера через манипуляции с абсолютными символическими ссылками;

Вот!

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

107. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  –1 +/
Сообщение от Аноним (107), 25-Фев-21, 11:29 
> jail_remove(2) includes a loop that sends SIGKILL to all processes
> in a jail, but skips processes in PRS_NEW state.  Thus it is possible
> the a process in mid-fork(2) during jail removal can survive the jail
> being removed.

какая-то шутка понятная только единственному ее разработчику. prs_new , так и вижу такого шипилявого деда, любителя маленьких мальчиков, prs_new , mid_fork и понимает что не can survive in the jail в случае чего, вот сидит и шутит в коде.

такое впечатление, вот действительно лучше дальше заголовка не читать

Ответить | Правка | Наверх | Cообщить модератору

114. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +2 +/
Сообщение от Аноним (-), 25-Фев-21, 13:46 
>> jail_remove(2) includes a loop that sends SIGKILL to all processes
>> in a jail, but skips processes in PRS_NEW state.  Thus it is possible
>> the a process in mid-fork(2) during jail removal can survive the jail
>> being removed.
> какая-то шутка понятная только единственному ее разработчику. prs_new ,

А глянуть в заголовочный файл (sys/proc.h) не позволяет обет комментатора опеннета "никогда не пытаться узнать матчасть" ?


/*
* Process structure.
*/
struct proc {
        LIST_ENTRY(proc) p_list;        /* (d) List of all processes. */
        TAILQ_HEAD(, thread) p_threads; /* (c) all threads. */
        struct mtx      p_slock;        /* process spin lock */
        struct ucred    *p_ucred;       /* (c) Process owner's identity. */
        struct filedesc *p_fd;          /* (b) Open files. */
        struct filedesc_to_leader *p_fdtol; /* (b) Tracking node */
        struct pstats   *p_stats;       /* (b) Accounting/statistics (CPU). */
        struct plimit   *p_limit;       /* (c) Resource limits. */
        struct callout  p_limco;        /* (c) Limit callout handle */
        struct sigacts  *p_sigacts;     /* (x) Signal actions, state (CPU). */

        int             p_flag;         /* (c) P_* flags. */
        int             p_flag2;        /* (c) P2_* flags. */
        enum {
                PRS_NEW = 0,            /* In creation */
                PRS_NORMAL,             /* threads can be run. */
                PRS_ZOMBIE
        } p_state;


Вместе с комментами вполне просто догадаться из контекста, что PRS_NEW - это когда процесс на стадии создания и еще не готов к выполнению.

Но да, тут некогда глядеть, тут ведь комментировать нужно!

> так и вижу такого шипилявого деда, любителя маленьких мальчиков, prs_new , mid_fork и понимает что не can survive in the jail в случае чего, вот
> сидит и шутит в коде.

О*еть фантазии. Ну хоть не маленьких пингвиняток ...

> такое впечатление, вот действительно лучше дальше заголовка не читать  

У меня такое впечатление, что большей части местных комментаторов это ничего не даст по причине отсутствия базовых знаний. Что не мешает им высказывать свое ценное мнение.

Ответить | Правка | Наверх | Cообщить модератору

56. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +2 +/
Сообщение от Аноним (56), 24-Фев-21, 15:54 
Докер vs jail - это как теплое с мягким. Jail vs cgroups тогда уж
Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

60. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +1 +/
Сообщение от Аноним (60), 24-Фев-21, 16:09 
Нет, это ты сравниваешь тёплое с мягким. Механизм изоляции и контроль ресурсов.
Ответить | Правка | Наверх | Cообщить модератору

76. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +3 +/
Сообщение от Аноним (76), 24-Фев-21, 18:20 
Он имел в виду linux namespaces, дополнением функциональности которого cgroups является.
Ответить | Правка | Наверх | Cообщить модератору

119. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +/
Сообщение от Синдарин (?), 25-Фев-21, 17:00 
Jail vs LXD/LXC

Фря сдохла, мало людей, мало глаз и рук, дальше хуже. В космос летает нынче RTLinux с 3ным консенсус рантайм конвеером, а на Марс и вовсе Ubuntu Core слетала в лице марсохода.

NASA выбирает Ubuntu Linux, а вы и дальше конпиляйте роллинг релизы от Арча.

Ответить | Правка | К родителю #60 | Наверх | Cообщить модератору

94. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +/
Сообщение от a (??), 24-Фев-21, 22:26 
Offtop:

Для Jail есть что-то типа kubernetes?

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

95. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  –1 +/
Сообщение от Аноним (-), 24-Фев-21, 22:38 
> Offtop:
> Для Jail есть что-то типа kubernetes?

https://www.nomadproject.io/
https://papers.freebsd.org/2020/fosdem/pizzamig-orchestratin.../

Ответить | Правка | Наверх | Cообщить модератору

96. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  –1 +/
Сообщение от a (??), 24-Фев-21, 22:40 
Thanks!
Ответить | Правка | Наверх | Cообщить модератору

108. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +/
Сообщение от Аноним (107), 25-Фев-21, 11:30 
А вы поезжайте в Питер и спросите.
Ответить | Правка | К родителю #94 | Наверх | Cообщить модератору

120. "Уязвимости во FreeBSD, позволяющие обойти ограничения jail-о..."  +/
Сообщение от a (??), 25-Фев-21, 17:33 
Спасибо, умный пескарь (С)
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру