Исходное сообщение
"Локальная root-уязвимость в реализации сокетов AF_PACKET в я..." Отправлено пох, 11-Май-17 11:13
> а мне то казалось user_ns нужен чтобы *имитировать* повышенные привелегии разумеется, нет - зачем тебе такая "имитация"? Он именно для полноценных повышенных привиллегий (с сохранением возможности их делегировать или, наоборот, сбросить), но замкнутых внутри песочницы. Чтобы не давать каждому пользователю, которому приспичило, полноценного рута, хотя бы даже и в виртуалке, сохранив хотя бы видимость контроля за инфраструктурой. Или не бегать за ними всеми выполнять их работу самому, не потому что они с  ней не справляются, а потому что побочные эффекты не могут предотвратить. Ну и как с любыми другими песочницами - песочек иногда высыпается сквозь дырки в бортиках. Поскольку именно эта a)новая b) модн...сложная - сыплется чаще, чем из примитивных. > но ведь raw-сокеты -- они то как раз *способны* навредить?! ну да. А без них - банальный ping не работает. И мы делаем его suid root, что, потенциально, способно навредить гораздо существенней, если вдруг в банальном парсере ключиков опять что-то прощелкали (а бывало). ping это, разумеется, утрированный пример - он простой, в нем проблем давно не видели. А когда задачка посложнее - неизвестно, какой подход окажется хуже.