Исходное сообщение
"Уязвимость в runc и LXC, затрагивающая Docker и другие систе..." Отправлено нах, 13-Фев-19 11:02
>> Как только ты дал юзеру права на docker socket - ты ему дал рута, сюрприз, сюрприз. > 100%? докер - программа, работающая от рута, причем с максимально широкими правами - всякие аппарморы и группы в панике разбегаются, давая уроду дорогу. А управление ей ты дал левому васяну, как только добавил его в группу имеющих право доступа к сокету, ему больше вообще ничего уже в этой жизни не надо, точнее, он сам себе все возьмет, что только захочет. то что в ней нашлась и еще одна мелкая дырочка - что васян может быть нелевым, но запустить по дурости левый контейнер, который нештатным образом получит доступ к все той же докер-инфраструктуре на хосте (и станет опять же рутом) - на этом фоне смешное недоразумение.