Исходное сообщение
"Уязвимость в runc и LXC, затрагивающая Docker и другие систе..." Отправлено виндотролль, 12-Фев-19 21:16
> Потому что на самом деле его запускает, сюрприз, docker-daemon, и таки да - от рута. Потому что только рут и может создавать все эти прекрасные неймспейсы, монтировать слои трэша и п-ца один поверх другого и выполнять еще кучу стремных действий. > Как только ты дал юзеру права на docker socket - ты ему дал рута, сюрприз, сюрприз. 100%? Т.е. докер не запускает pid1 контейнера в неймспейсе с маппингом <uid> 0 ? Я не знаком с докером досконально, но изоляция без user namespace имеет мало смысла, я б предположил, что они это делают. Кто-то из нас не понял суть уязвимости.