IK
докер демон на хосте работает под рутом
Size: a a a
2020 February 22
SC
Но проблема не такая большая
IK
как только вы запускаете privileged mode я могу выбраться из под юзера с помощью простейшего контейнера
IK
получается любой пользователь, имеющий доступ к управлению билдом на CI может полностью захватить хост
SC
Хм.. аж интересно стало. Попробую найти исходники посмотреть что я там дела. Давно было
IK
в гитлабе это одна из причин почему для shared runners мы ДЛЯ КАЖДОГО ЗАПУСКА создаем полностью новый дроплет на digitalocean / виртуалку в гуглооблаке
IK
чтобы ни один пользователь не мог поиметь "машину" :)
m^
получается любой пользователь, имеющий доступ к управлению билдом на CI может полностью захватить хост
какой хост? хост гитлаб раннера?
IK
IK
я так однажды когда делал атаку на инфраструктуру компании показывал как разработчик может поиметь все кредитки с продакшна )
IK
и что с таким слоненком говорить о безопасности данных пользователей это миф
m^
ну так в случае когда мы просто используем докер в докере на гитлаб, тут же нет никакой опасности
m^
я седня мб туплю, голова болит п-ц
IK
ну так в случае когда мы просто используем докер в докере на гитлаб, тут же нет никакой опасности
только до тех пор пока вы используете shared runners
IK
мы о вас подумали заранее )
IK
но потом люди приходят на другие проекты и задачи, и бездумно продолжают использовать dind потому что так привыки
IK
(это если что не претензия прям к вам)
IK
при этом затраты и сложность внедрения того же kaniko или orca-build копеешная
IK
да и kaniko быстрее
m^
ок буду иметь в виду спасибо