Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Docker, позволяющая выбраться из контейнера, opennews (??), 29-Май-19, (0) [смотреть все] Ждем комментаторов с искрометными шутками про девляпсов и контейнеры нинужны , Аноним (1), 13:22 , 29-Май-19, (1) +19 // Контейнеры нинужны, у меня на Windows 10 ничего не изолировано и работает , КэГэБэ эСэСэСэР (?), 13:25 , 29-Май-19, (2) +10 // И тебе нечего скрывать , Аноним (42), 16:54 , 29-Май-19, (42) +8 Ничего кроме тебя самого , VINRARUS (ok), 18:32 , 29-Май-19, (58) –2 Дыркер -- он про сак-сцесс и искромётные комментарии https www opennet, Andrey Mitrofanov_N0 (?), 13:26 , 29-Май-19, (3) // поставил тебе - -- первый -- безумный -- Текст второй безум, Аноним (64), 19:35 , 29-Май-19, (64) –1 Митрофаныч, у тебя учетку на опеннетике угнали что ли , Васян (?), 17:47 , 30-Май-19, (137) // Граждане, это поддельный Митрофанушко , Васян (?), 17:49 , 30-Май-19, (138) –1 Почему это не нужны Это хорошый способ предотвратить возможность какому-нибудь , Аноним (5), 13:30 , 29-Май-19, (5) +5 // Этот кейс требует изоляции только на уровне файловой системы, что легко решается, Аноним (40), 16:37 , 29-Май-19, (40) +3 // Да, но инфраструктура более легковесных в плане ресурсов решений оказывается бол, freehck (ok), 18:31 , 29-Май-19, (57) +1 Вопрос лишь о том, зачем под доскер подстилать большую юникс-подобную систему, п, Anonymoustus (ok), 19:03 , 29-Май-19, (60) Анонимаустус, а каким боком и что именно докер сломал-то , freehck (ok), 19:53 , 29-Май-19, (69) –2 Не доскер сломал, а те, кто из линукса делают корпоративную пускалку для доскеро, Anonymoustus (ok), 20:12 , 29-Май-19, (73) +1 Никсы нужны для того, чтобы ими пользоваться, причём - как _угодно_, так и польз, IRASoldier_registered (ok), 02:34 , 30-Май-19, (98) –4 Здесь у нас, похоже, ещё один опоздавший родиться, не читавший ни Реймонда, ни К, Anonymoustus (ok), 07:17 , 30-Май-19, (102) Ой, а в чём, расскажИте А то вы может тоже похоже не читали , Аноним (114), 13:25 , 30-Май-19, (114) –2 Эти ссылки не для тебя, невежливый аноним, ты всё равно читать не будешь Это дл, Anonymoustus (ok), 13:28 , 30-Май-19, (116) Про macOS и Все те маленькие sh, awk, sed, vi vim и пр и не очень маленькие , Andrey Mitrofanov_N0 (?), 08:49 , 31-Май-19, (154) https www opengroup org openbrand registerЕсли бы ты пользовался Маком, ты бы , Anonymoustus (ok), 09:03 , 31-Май-19, (155) И не для того, чтобы молиться на священные книги предков и основателей Предн, IRASoldier_registered (ok), 18:09 , 30-Май-19, (141) –3 Ты книжки почитай по моим ссылкам, проникнись, _пойми_ наконец, _что такое_ Юник, Anonymoustus (ok), 18:28 , 30-Май-19, (144) Книжки-то интересные И читанные Но _дискуссия_ не имеет никакого реального смы, IRASoldier_registered (ok), 20:10 , 30-Май-19, (145) –2 Главное было в рисёрче на авось продажникам AT T прокатит Чего бы там академия, Andrey Mitrofanov_N0 (?), 08:41 , 31-Май-19, (153) Юникс изначально делали не для продажи для продажи там были другие товары и усл, Anonymoustus (ok), 09:12 , 31-Май-19, (156) И где теперь все те никсы для корпоративных задач которыми пользовались Гуса, анонн (?), 13:28 , 30-Май-19, (117) +1 Самые распространенные в этом сегменте дистрибутивы линуксов бсд - ну да ты ж , IRASoldier_registered (ok), 17:55 , 30-Май-19, (139) –1 И это отвечает на какой вопрос Помимо того, что если даже забыть о Linux is not, анонн (?), 18:11 , 30-Май-19, (142) Какой-то уход разговора в сторону и кашеобразие С чего началось Началось с тог, IRASoldier_registered (ok), 20:29 , 30-Май-19, (146) –1 Сделали уже Маленькая пускалка для dockerhttps rancher com rancher-os , Anonymouss (?), 20:53 , 29-Май-19, (79) –2 Потому что это не правильный подход Надо не систему бутстрапить, а сбандлить с , Аноним (103), 08:29 , 30-Май-19, (103) Плюсую А ещё деплой удобнее в разы становится , freehck (ok), 18:28 , 29-Май-19, (56) // Скрыто модератором, пох. (?), 20:11 , 29-Май-19, (72) +1 Скрыто модератором, хотел спросить (?), 22:05 , 29-Май-19, (86) Скрыто модератором, пох. (?), 22:13 , 29-Май-19, (91) Скрыто модератором, хотел спросить (?), 02:28 , 30-Май-19, (97) –2 Скрыто модератором, пох. (?), 13:54 , 30-Май-19, (122) Скрыто модератором, хотел спросить (?), 21:54 , 30-Май-19, (147) –2 Если писать код абсолютно правильно, то контейнеры не особо то и нужны Но с ним, Аноним (8), 13:49 , 29-Май-19, (8) +3 // максималист детектед Возвращайся в мир собственных фантазий, kai3341 (ok), 14:07 , 29-Май-19, (10) +1 Контейнеры были придуманы для разделения ресурсов между сервисами, выполняющимис, Аноним (40), 16:27 , 29-Май-19, (39) +1 // да ну нах Я-то думал для разделения ресурсов были придуманы многозадачные опера, пох. (?), 22:06 , 29-Май-19, (87) +3 systemd-nspawn, SysA (?), 17:27 , 30-Май-19, (135) –1 Если использовать java EE, то доцкер не нужен Может есть и другие вменяемые пла, лютый жабист__ (?), 18:44 , 29-Май-19, (59) –3 // угу, вместо сравнительно дешевого девляпса надо кормить наглого и распухшего от , пох. (?), 14:09 , 30-Май-19, (123) +1 У девляпсов копирование файлов в контейнер точнее, образ выполняется только , Fyjybv755 (?), 15:22 , 29-Май-19, (27) +1 // объявленные те что персистентны, а не каждый раз вручную deprecated пять лет н, пох. (?), 16:07 , 29-Май-19, (33) –2   // И чем заменять предлагают , Анониим (?), 17:00 , 29-Май-19, (43)   как обычно, ничем - как, вы не слышали в какой криокамере вы спали standalone, пох. (?), 17:58 , 29-Май-19, (49) –1   в k8s все тем более через volume-ы делается, Аноним (53), 18:13 , 29-Май-19, (53) +2   Судя по его комментам в этом обсуждении, докер он видел только на картин Wвинде,, Fyjybv755 (?), 12:41 , 30-Май-19, (112) –1   ваш сварм - такое же устаревшее ненужно, уже выкинутое ляпателями доскера в помо, пох. (?), 14:16 , 30-Май-19, (125)   Осталось найти девопса и убедить его сто раз скачать файл из работающего контейн, sailorCat (?), 17:37 , 29-Май-19, (45)   ну нет, зачем же так - надо найти девопса с десятью тысячами контейнеров, и как-, пох. (?), 18:00 , 29-Май-19, (50)   Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации и чуть что - , Fyjybv755 (?), 12:39 , 30-Май-19, (111) –1   Зачем ты приписываешь свои слова другим На практике проще Но не правильней Потом, Аноним (114), 13:31 , 30-Май-19, (118)   ну нет, зачем же - он как раз автоматически наш эксплойт и запустит, вручную-то , пох. (?), 14:22 , 30-Май-19, (126)   docker cp Нет, не запустит В процессе продового деплоя отладочным операциям не, Fyjybv755 (?), 15:52 , 30-Май-19, (128) –1   ага, перезапускать до посинения прода, после - обновить резюме так же, как мы ра, пох. (?), 16:08 , 30-Май-19, (132)   Где вы такую траву берете Или вы машину времени украли и пишете из 2030 года , Анонимус2 (?), 19:38 , 29-Май-19, (65) +1   Не машину, а вагон времени Всё это ваше ГНУ именно про вагон бесплатного чужого, Аноним (114), 13:27 , 30-Май-19, (115)   Сестра, тампоны В треде ушибленный ГНУ 1У тебя ушиб, если ты девляпсы выше п, Andrey Mitrofanov_N0 (?), 09:21 , 31-Май-19, (157)   О, сразу видно великого спеца по девляпсам Контейнеры, значит, вручную создаете, Fyjybv755 (?), 12:35 , 30-Май-19, (110)   сразу видно великого спеца-девляпса, он даже не понял что речь о персистентных т, пох. (?), 14:25 , 30-Май-19, (127)   Нет, я не понял, нафига вообще нужны персистентные тома Еще раз список томов в, Fyjybv755 (?), 16:07 , 30-Май-19, (131) –2   в этой- низачем, поэтому поломано и починено не будет Как и много чего еще, бр, пох. (?), 16:11 , 30-Май-19, (133) +1   Не каждому разработчику удаётся выбраться из контейнера на оплачиваемую работу , Канделябры (?), 16:02 , 29-Май-19, (32) +11 // Хьело фрём Индия, дрюгь Ми написале харёши кёд для твая видиёкартачкя, дрюгь Т, Аноним (52), 18:10 , 29-Май-19, (52) +2 Жаль, что тебе и подобным не понятно, что это не шутки в целом Контейнеры сами п, Дон Ягон (?), 16:17 , 29-Май-19, (37) +2 // какая разница между концепцией контейнеров, ее реализацией в докере и линуксовым, виндотролль (ok), 06:44 , 30-Май-19, (101) –1 // Это, на самом деле, непростой вопрос, на который развёрнуто отвечать можно очень, Дон Ягон (?), 16:00 , 30-Май-19, (130) Ты про вебмакак забыл без них никуда , Аноним (55), 18:18 , 29-Май-19, (55) +2 Контейнеры2 НЕ НУЖНЫ дЕВЛЯПСЫ И ХИПСТОТА ЗЛО , псевонимус (?), 15:53 , 02-Июн-19, (162) nobigfatdaemon, Аноним (-), 13:26 , 29-Май-19, (4) Скрыто модератором, ыфективный манагер (?), 13:46 , 29-Май-19, (6) +3 // Скрыто модератором, имя (?), 14:07 , 29-Май-19, (9) +2 // Скрыто модератором, анонн (?), 14:11 , 29-Май-19, (11) +2 Скрыто модератором, Евгений Петросян (?), 14:24 , 29-Май-19, (13) +1 Скрыто модератором, Fyjybv755 (?), 15:12 , 29-Май-19, (23) –1 notabug, Аноним (7), 13:47 , 29-Май-19, (7) +3 Ну где тот аноним, который биткоинами разбрасывался месяц даже не прошел , Sw00p aka Jerom (?), 14:19 , 29-Май-19, (12) +5 // ну он вроде обещался за вылезание из контейнера, а не за эксплуатацию уязвимости, пох. (?), 14:26 , 29-Май-19, (14) // И вероятность удачи порядка 1 на попытку Очень долго придется несчастного лоха, Fyjybv755 (?), 15:09 , 29-Май-19, (22) –1 Он обещал за выход из контейнера А сабжевая жуткая мега-уязвимость предполагает, Fyjybv755 (?), 15:06 , 29-Май-19, (18) –1 // так каждый дурак может, тут идея что полномочия-то не у тебя, а используешь их -, пох. (?), 16:08 , 29-Май-19, (34) // Фигасе без спросу - сотню-другую раз подряд просить админа ну скопируй мне фа, Fyjybv755 (?), 12:42 , 30-Май-19, (113) –1 Systemd, dockers, не хватает только реестра для полного счастья , Аноним (15), 14:37 , 29-Май-19, (15) +1 // dconf, Аноним (17), 14:42 , 29-Май-19, (17) +2 C буквой s это будет другой, неправильный докер , Аноним84701 (ok), 15:06 , 29-Май-19, (19) +2 Wayland же, причем тут реестр , Аноним (28), 15:23 , 29-Май-19, (28) –1 // -- Тому не надо Windows искать, у кого он за спиной стоит почти , Andrey Mitrofanov_N0 (?), 15:44 , 29-Май-19, (30) +1 // на десктопе стоит , пох. (?), 16:09 , 29-Май-19, (35) не, за спиной rh W ibmel-а , Andrey Mitrofanov_N0 (?), 09:27 , 31-Май-19, (158) В топике ничего не сказано про systemd, чудик , Gannet (ok), 23:22 , 29-Май-19, (92) –1 Вот уязвимость так уязвимость Я аж забоялся , corvuscor (ok), 14:40 , 29-Май-19, (16) Может, проще сразу попросить рутовый доступ А что, неплохая уязвимость получает, Fyjybv755 (?), 15:08 , 29-Май-19, (20) +1 А когда выберетесь из докера, то что дальше делать будете , Аноним (21), 15:08 , 29-Май-19, (21) –1 // Если говорить о реалистичных сценариях атаки, то это не выбраться из контейнера, Fyjybv755 (?), 15:15 , 29-Май-19, (24) +1 Снова ночь и снова демоны приподнимают крышки контейнеров, оглядываются вокруг и, Какаянахренразница (ok), 15:20 , 29-Май-19, (25) +9 Вот читаю комментарии, и удивляюсь Никогда столь дырявая вещь не захватывала ум, zurapa (ok), 15:58 , 29-Май-19, (31) +10 // вот сейчас обидно получилось доскер с системд - не то что не близнецы-братья, а , пох. (?), 16:16 , 29-Май-19, (36) // Мне не понятно Объясни , Ёж (?), 17:05 , 29-Май-19, (44) // у тебя есть демон, работает с поднятыми привиллегиями, запускается тем у кого он, пох. (?), 17:54 , 29-Май-19, (47) да при чём тут докер то E у меня за 2 года прода багов докера было ровно два, , вИКТОР АГН (?), 20:01 , 29-Май-19, (70) –2 // да-да-да, если у меня работает, значит не гoвно , Аноним (99), 02:37 , 30-Май-19, (99) +1 2K рпс наносекунду Толсто однако РПС - RPS - requests per second Даже если за, Аноним (150), 06:37 , 31-Май-19, (150) +1 Другими словами вы pizdobol сэр , Аноним (150), 06:39 , 31-Май-19, (151) +1 Я в своём комментарии, как бы намека явно говорю , что без systemd, с которым т, zurapa (ok), 11:56 , 31-Май-19, (159) –1 Нео путь избранного, Гномспецназ (?), 16:22 , 29-Май-19, (38) А что Freebsd с её джейламм , Аноним (41), 16:47 , 29-Май-19, (41) –1 // какой был 100 лет назад, такой и остался, пусть таким и остается, Sw00p aka Jerom (?), 17:47 , 29-Май-19, (46) –1 // кое-что все же успели испортить за последние пять - в погоне за косплеем доскера, пох. (?), 17:55 , 29-Май-19, (48) // vnet что-ли На 11 2 все ещё кидал систему в панику если в разных клетках свой p, abi (?), 20:21 , 29-Май-19, (75) в клетках пф о Боже, Sw00p aka Jerom (?), 21:58 , 29-Май-19, (83) ну а зачем вообще тебе vnet с разделяемой физической сетевухой и так все работа, пох. (?), 22:08 , 29-Май-19, (89) алиасов хватает , Sw00p aka Jerom (?), 00:19 , 30-Май-19, (94) Алиасы не нужны vhid практичней , Аноним (114), 13:33 , 30-Май-19, (119) так это и есть разделение физической сетевухи - хошь алиасами, а не хошь просто , пох. (?), 17:44 , 30-Май-19, (136) а зачем тогда pf тянуть в джейл , Sw00p aka Jerom (?), 17:56 , 30-Май-19, (140) в смысле Это способы его туда не тянуть А pf в jail можно хотеть тянуть по милл, пох. (?), 18:23 , 30-Май-19, (143) +1 О да Сорян за лёгкий некропостинг, но да, это прекрасно Ты закоммитишь - и т, Дон Ягон (ok), 01:14 , 04-Июн-19, (163) +1 Для всех в этом чатике изоляция бывает только аппаратная И то там работает соци, Аноним (55), 18:14 , 29-Май-19, (54) // Ещё дыры в интеловских процах там ничего так работают , Онаним (?), 19:45 , 29-Май-19, (66) –1 Эту вашу аппаратную изоляцию ломают чаще чем в докере дыры находят При этом её , Анонимус2 (?), 19:46 , 29-Май-19, (67) // Это изоляция , она такая же наша как и твоя И почему изоляцию ломают, а дыры , Аноним (114), 13:36 , 30-Май-19, (120) // Вот тут ты очень смешно протролил Надо запомнить Буду теперь всем DevOps ам го, zurapa (ok), 12:03 , 31-Май-19, (160) И хорошо работает Аппаратная изоляция - это программная, реализованная на уровн, Аноним (-), 21:05 , 29-Май-19, (82) Вспомнил забавный киноляп из недавнего фильма, как чел, кажется раз 7 сбегал из , Аноним (63), 19:20 , 29-Май-19, (63) // Был такой Тони Ролт Прославился еще как гонщик и тем, что для последнего побе, Аноним84701 (ok), 20:48 , 29-Май-19, (76) +2 Почему баг обработки симлинков исправляется приостановкой контейнера , sleeply4cat (ok), 19:48 , 29-Май-19, (68) // потому что твой супер контейнер должен быть stateless, и их должно быть два мини, вИКТОР АГН (?), 20:06 , 29-Май-19, (71) –2 потому что макака по другому просто не умеет Контейнер стопнула - опа, вот и ra, пох. (?), 20:17 , 29-Май-19, (74) –1 Девопсненько так В lxc проблемы нет, но девопсяры же в неё не умеют, им решеток, mumu (ok), 20:49 , 29-Май-19, (77) +4 // lxc очень сложно, нужно проходить курсы для запуска hello world, Анонимный эксперт (?), 20:52 , 29-Май-19, (78) +3 // lxc еще и очень криво, неудачный косплей виртуальной машины К ней бы runc от cle, пох. (?), 22:11 , 29-Май-19, (90) В podman тоже нет проблемы, но во многом аналогичен докеру по использованию Да , Аноним (-), 21:00 , 29-Май-19, (80) –2 // https github com rgroux exemples wiki Howto -LXC---container-without-root-priv, Аноним (108), 11:41 , 30-Май-19, (108) +1 Вообще этих контейнеров вагон и маленький вагон, но бабки нашептали только три б, Аноним (-), 21:01 , 29-Май-19, (81) // Вопрос в том, как много из них прошли аудит безопасности и стали готовы для прод, mumu (ok), 10:05 , 30-Май-19, (105) // лолшта Конечно ноль ВСЕ каравай-каравай, каку хочешь Выбирай , пох. (?), 16:14 , 30-Май-19, (134) Только то что запускают в реальной VM, как например VMware Photon , Анонимный эксперт (?), 04:30 , 31-Май-19, (149) ты еще скажи, что она проходила какой-то там аудит или что секретная технологи, пох. (?), 07:19 , 31-Май-19, (152) В systemd-nspawn тоже проблемы нет , Gannet (ok), 23:27 , 29-Май-19, (93) –1 Ну что, сколько уже смузихлебов выбралось из своего картонного контейнера Уже е, Погонщик (?), 01:05 , 30-Май-19, (95) ШОК, СЕНСАЦИЯ Найдена уязвимость во всех ОС Если иметь права root админа, то, Аноним (96), 02:23 , 30-Май-19, (96) +1 // А можно поподробнее Хочу УБИТЬ СИСТЕМУ , Аноним (100), 03:26 , 30-Май-19, (100) // Имей систему - переходи на красный , Пишу из ванны (?), 08:57 , 30-Май-19, (104) –1 Можно killall systemДерзай , Аноним (114), 13:38 , 30-Май-19, (121) // killall system , анонн (?), 14:14 , 30-Май-19, (124) Если на каждый шмокер приходится ровно по одному хосту, то не страшно конечно Н, mumu (ok), 10:06 , 30-Май-19, (106) // для деплоя же ж но так красиво получается только первые три дня - а дальше кон, пох. (?), 12:05 , 30-Май-19, (109) Убедить Да сейчас каждая вторая приблуда - нет времени объяснять, качай docker, Аноним (161), 18:20 , 01-Июн-19, (161) Используйте для изоляции харденед chroot от grsecurity net, Anonim (??), 10:12 , 10-Июн-19, (164) 1,4,7,12,15,16,20,21,25,31,38,41,54,63,68,77,95,96,161,164

Сообщения

[Сортировка по времени | RSS]

	33. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–2 +/–
	Сообщение от пох. (?), 29-Май-19, 16:07
	> Для всего остального есть volumes. объявленные (те что персистентны, а не каждый раз вручную) deprecated пять лет назад и с тех пор по этому поводу толком не поддерживаемые (оставляют неудобообнаруживаемый и неудобоудаляемый мусор в системе, не видны обычными инструментами если не знать и не спросить специально)? Отличное решение, так держать. Ну и вот ни разу не поверю, что копирование файлов ИЗ контейнера - никогда-никогда не случается у девляпсов. А баг, как я понимаю, эксплойтится и этим способом замечательно.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Анониим (?), 29-Май-19, 17:00
	> deprecated И чем заменять предлагают?
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от пох. (?), 29-Май-19, 17:58
	> И чем заменять предлагают? как обычно, ничем - "как, вы не слышали? в какой криокамере вы спали? standalone docker давно уже ж немодно, все на k8s, бегом, бегом, некогда разбираться, ляпай давай!" его, разумеется, тоже будет некогда доделывать - "все бегом в впопенштифт, управлять кластером руками ересь и предрассудки!"
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+2 +/–
	Сообщение от Аноним (53), 29-Май-19, 18:13
	в k8s все тем более через volume-ы делается
	Ответить | Правка | Наверх | Cообщить модератору

	112. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 12:41
	Судя по его комментам в этом обсуждении, докер он видел только на картин^Wвинде, а про кубер и сварм вообще только слышал.
	Ответить | Правка | Наверх | Cообщить модератору

	125. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 30-Май-19, 14:16
	> Судя по его комментам в этом обсуждении, докер он видел только на > картин^Wвинде, а про кубер и сварм вообще только слышал. ваш сварм - такое же устаревшее ненужно, уже выкинутое ляпателями доскера в помойку, не доделывать же его, в самом-то деле? Работает оно примерно вот так: https://github.com/docker/docker-credential-helpers/issues/103 (да, проблема не в непосредственно его коде, но она, как видим, вылезла на куче систем и у кучи людей - просто потому что ляпалки не умеют тестировать прежде чем пихать что попало в зависимости) и  ничего, пол-года никого не беспокоило - а чо, подумаешь, билд ломается, pull-то не ломается, зачем что собирать, вон тащи с хаба, уже за тебя собрали как попало что попало! А новые-модные пацанчики им не пользуются - устаревшая негодная технология, не иначе. P.S. отдельно доставил девляпский способ "решения" проблемы - тоже, судя по комментом, радостно подхваченный миллионами мух. Не буду объяснять что с ним не так, вам не надо лишних знаний.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от sailorCat (?), 29-Май-19, 17:37
	> у и вот ни разу не поверю, что копирование файлов ИЗ контейнера - никогда-никогда не случается у девляпсов. Осталось найти девопса и убедить его сто раз скачать файл из работающего контейнера. Если повезёт, этого хватит, чтобы сработала уязвимость.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	50. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 29-Май-19, 18:00
	ну нет, зачем же так - надо найти девопса с десятью тысячами контейнеров, и как-то развести на нужный и полезный файл где-то в одном из. Вероятность попадания резко увеличивается.
	Ответить | Правка | Наверх | Cообщить модератору

	111. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 12:39
	Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации и чуть что - сам лезет чинить. Десять тысяч раз в день, ага. Ну и бред вы несете. На практике, если с каким-то контейнером проблема - его проще редеплойнуть, чем ковыряться в его потрохах и выяснять, кто там pid-файл забыл убрать.
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Аноним (114), 30-Май-19, 13:31
	> Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации и чуть что - сам лезет чинить. Зачем ты приписываешь свои слова другим? > проще редеплойнуть, чем ковыряться На практике проще. Но не правильней. Потому, что если всё делать как проще, то получится: > Ну и бред вы несете.
	Ответить | Правка | Наверх | Cообщить модератору

	126. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 30-Май-19, 14:22
	> Ага, админ десяти тысяч контейнеров не имеет никакой автоматизации ну нет, зачем же - он как раз автоматически наш эксплойт и запустит, вручную-то хрен разведешь на такую тяжкую работу. Возможно даже и не зная о том - мало ли кто и когда чего заавтоматизировал еще до него - разбираться некогда, давай еще сорок подов поднимай. > На практике, если с каким-то контейнером проблема - его проще редеплойнуть, чем а оно вот, опять. И еще в пятистах, и число их растет. Не, не будем ковыряться, какая нам разница что там не работает - проще редеплойнуть, ага? А потом прод лежит, потому что число "не совсем так работающих" превысило запас прочности системы, и они продолжают валиться. Мы за это (в смысле - перезапуск автоматикой без попыток разобраться, что именно в этом инстансе пошло не так), кстати, дежурную смену штрафовали, именно по этой причине. Надеюсь, они все уже развились в девопсов, а самые умные - сменили профессию.
	Ответить | Правка | К родителю #111 | Наверх | Cообщить модератору

	128. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–1 +/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 15:52
	> ну нет, зачем же - он как раз автоматически наш эксплойт и запустит docker cp? Нет, не запустит. В процессе продового деплоя отладочным операциям не место. > Не, не будем ковыряться, какая нам разница что там не работает - проще редеплойнуть, ага? Для ветеран-админов из девяностых, у которых одновременно в ведении было максимум десяток демонов, сложно понять, как можно работать с десятком тысяч контейнеров. Вы все время проецируете SOHO-методы - вручную чинить каждый сбой каждого приложения. Действительно, зачем нужны системы мониторинга и коллекторы ошибок - админ сам зайдет, посмотрит и починит, лично, на всех ста серваках одновременно, ага.
	Ответить | Правка | Наверх | Cообщить модератору

	132. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 30-Май-19, 16:08
	> docker cp? Нет, не запустит. В процессе продового деплоя отладочным операциям не > место. ага, перезапускать до посинения прода, после - обновить резюме. >> Не, не будем ковыряться, какая нам разница что там не работает - проще редеплойнуть, ага? > Для ветеран-админов из девяностых, у которых одновременно в ведении было максимум десяток > демонов, сложно понять, как можно работать с десятком тысяч контейнеров. Вы так же, как мы работали с тысячей-другой физических хостов без всяких контейнеров - ничего ужасного в этом нет. > все время проецируете SOHO-методы - вручную чинить каждый сбой каждого приложения. это как раз промышленные методы - _сбоям_, а не отладке,  на проде не место. Как и лечению перезапуском. Если нельзя откатиться на заведомо исправную версию - да, идешь и разбираешься, что сломалось. Если делаешь это вручную - достаточно одного инстанса каждого типа, затронутого ошибкой. Ну а если все переавтоматизировал так, что ручного доступа вообще нет - получай в свой канализационный коллектор терабайт ненужного мусора и ищи там, как хочешь. хотя да, зачем - надо просто перезапустить, потом еще два раза перезапустить, потом обновить резюме и еще раз перезапустить. В резюме, разумеется, не забыть упомянуть опыт обслуживания продакшн-систем с миллионом инстансов.
	Ответить | Правка | Наверх | Cообщить модератору

	65. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от Анонимус2 (?), 29-Май-19, 19:38
	Где вы такую траву берете? Или вы машину времени украли и пишете из 2030 года?
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	115. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Аноним (114), 30-Май-19, 13:27
	Не машину, а вагон времени. Всё это ваше ГНУ именно про вагон бесплатного чужого времени.
	Ответить | Правка | Наверх | Cообщить модератору

	157. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Andrey Mitrofanov_N0 (?), 31-Май-19, 09:21
	> Не машину, а вагон времени. Всё это ваше ГНУ именно про вагон > бесплатного чужого времени. Сестра, тампоны!  В треде ушибленный ГНУ!1 У тебя ушиб, если ты "девляпсы" выше по треду или "дыркер" из новости "перевёл" на гну. Прикладывай лёд.
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 12:35
	> объявленные (те что персистентны, а не каждый раз вручную) О, сразу видно великого спеца по девляпсам. Контейнеры, значит, вручную создаете. На практике, где-либо, кроме тестового стенда, никто такой фигней не занимаются. Контейнеры со всеми томами, портами и лимитами создаются автоматически системой деплоя, поэтому никаких "вручную" быть не может по определению. Более того, в нормальной инфраструктуре система мониторинга выявляет все созданные и измененные "вручную" контейнеры на продовых серваках и поднимает critical alert.
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	127. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+/–
	Сообщение от пох. (?), 30-Май-19, 14:25
	>> объявленные (те что персистентны, а не каждый раз вручную) > О, сразу видно великого спеца по девляпсам. Контейнеры, значит, вручную создаете. сразу видно великого спеца-девляпса, он даже не понял что речь о персистентных томах, а не контейнерах. > На практике, где-либо, кроме тестового стенда, никто такой фигней не занимаются. Контейнеры > со всеми томами, портами и лимитами создаются автоматически системой деплоя, поэтому поэтому docker cp их незаменимый помощник, когда что-то где-то пойдет не так, ага, ага (ну и наш тоже, если придет в голову их немного поломать). какие еще персистентные тома, они об этом ведь не успели дочитать, а если бы и успели - модная система "орхестрации" все равно не даст.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Уязвимость в Docker, позволяющая выбраться из контейнера"	–2 +/–
	Сообщение от Fyjybv755 (?), 30-Май-19, 16:07
	> сразу видно великого спеца-девляпса, он даже не понял что речь о персистентных томах, а не контейнерах. Нет, я не понял, нафига вообще нужны персистентные тома. Еще раз: список томов в виде пар "каталог хоста"-"каталог контейнера" (+опционально ro) автоматически формируется при создании каждого нового контейнера. Зачем в этой схеме нужен механизм docker persistent volumes? > поэтому docker cp их незаменимый помощник, когда что-то где-то пойдет не так, ага, ага (ну и наш тоже, если придет в голову их немного поломать). Ну удачи залезть на тестовый стенд. Конечно, специально для вас его откроют в мир. Если очень-очень попросить.
	Ответить | Правка | Наверх | Cообщить модератору

	133. "Уязвимость в Docker, позволяющая выбраться из контейнера"	+1 +/–
	Сообщение от пох. (?), 30-Май-19, 16:11
	> Нет, я не понял, нафига вообще нужны персистентные тома. Еще раз: список > томов в виде пар "каталог хоста"-"каталог контейнера" (+опционально ro) автоматически > формируется при создании каждого нового контейнера. Зачем в этой схеме нужен в этой-  низачем, поэтому поломано и починено не будет. Как и много чего еще, брошенное недоделанным, потому что стая макак ускакала за новыми, более блестящими погремушками. (тот же swarm, как показала практика)
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема