но вроде не должно же меняться?

Будет

Таймштэмп же

жестко 🙂

Норм

В эвентах может ещё осталось

Там будет что-то, если ты kubectl apply делал. Можно по-разному объекты трогать. :3

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5021 очередная победа алпайна над безопасностью

Можешь еще в девопс_жобс его кинуть?

Смысл?

ну ты вроде везде его кидаешь, а я просто люблю когда в девопс_жобс горят

ну ты вроде везде его кидаешь, а я просто люблю когда в девопс_жобс горят

в этом же паке, второй стикер. Любимый. Советую.

в этом же паке, второй стикер. Любимый. Советую.

нет, это пересборка паков, оригинал вот

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5021 очередная победа алпайна над безопасностью

Ну это не проблема alpine, это проблема some other mechanism which uses the system shadow file, не?

Тот же ssh по умолчанию не пустит например

Тот же ssh по умолчанию не пустит например

А sudo в контейнере?

А sudo в контейнере?

Sudo же не читает креды?

su - пустит, да

Sudo же не читает креды?

sudo юзает PAM

su - пустит, да

не пустит: su: incorrect password

sudo юзает PAM

а в каком месте он shadow то читает?

не пустит: su: incorrect password

это в какой версии?

это в какой версии?

Ну я проверил busybox v1.29.3 и bash 4.4.19(1)-release из Alpine 3.9.2

они оба еще требуют sticky bit на /sbin/su, который в Alpine по умолчанию не уставновлен

а в каком месте он shadow то читает?

В pam_unix.so емнип

@vrutkovs но ведь sudo не дает тебе возможности запустить неразрешенной комманды: guest is not in the sudoers file. This incident will be reported

они оба еще требуют sticky bit на /sbin/su, который в Alpine по умолчанию не уставновлен

Если у тебя приложение юзает PAM, то через дыру в нем получаешь рут в контейнере. Забыл включить seccomp фильтр в кубернете -> получил рута на хосте

@vrutkovs но ведь sudo не дает тебе возможности запустить неразрешенной комманды: guest is not in the sudoers file. This incident will be reported

Он в контейнере гест, а на хосте это будет рут

(если не включены user namespaces что в кубернктесе еще нет)

Если у тебя приложение юзает PAM, то через дыру в нем получаешь рут в контейнере. Забыл включить seccomp фильтр в кубернете -> получил рута на хосте

И опять же, это дыра в приложении, разве не так? Если приложение разрешает вход под рутом с пустым паролем, это априори не есть безопасно

тем более что в pam есть разница, между NULL и ''

Он в контейнере гест, а на хосте это будет рут

если сможет обойти защиту, а мы ее пока не обошли

И опять же, это дыра в приложении, разве не так? Если приложение разрешает вход под рутом с пустым паролем, это априори не есть безопасно

Так везде пишут что environment-specific, дефолты кубернетиса просто эту багу никак не останавливают

@kvaps вот 15 минут славы - https://t.me/documentsjournal/611 :)

@kvaps вот 15 минут славы - https://t.me/documentsjournal/611 :)

Если у тебя приложение юзает PAM, то через дыру в нем получаешь рут в контейнере. Забыл включить seccomp фильтр в кубернете -> получил рута на хосте

Проверил PAM, так работает: pamtester login root \ "authenticate(PAM_SILENT)"так нет: pamtester login root \ "authenticate(PAM_DISALLOW_NULL_AUTHTOK)"короче, не убедили!

А вот и объяснение подъехало: https://www.opennet.ru/opennews/art.shtml?num=50654 получается там именно root:::0::::: было, а не root:!::0:::::

А вот и объяснение подъехало: https://www.opennet.ru/opennews/art.shtml?num=50654 получается там именно root:::0::::: было, а не root:!::0:::::

https://talosintelligence.com/vulnerability_reports/TALOS-2019-0782 так вот же написано

так там про NULL написано, я так понял что root:!::0::::: и есть NULL

! это NULL

а у них было ''

вот и я о том же

А вот и объяснение подъехало: https://www.opennet.ru/opennews/art.shtml?num=50654 получается там именно root:::0::::: было, а не root:!::0:::::

И че?)

А вот и объяснение подъехало: https://www.opennet.ru/opennews/art.shtml?num=50654 получается там именно root:::0::::: было, а не root:!::0:::::

и что это никто не замечал?

и что это никто не замечал?

Проблема была изначально выявлена и исправлена в ноябре 2015 года, но в декабре по ошибке опять всплыла в сборочных файлах эксперментальной ветки, а затем была перенесена в стабильные сборки.

=)

Хорошие тесты.

И че?)

ну кстати, проверил на root:::0::::: su и pamtester с PAM_DISALLOW_NULL_AUTHTOK все так же не пускают

! это NULL

! это ж дизейблд

ну да

ни с каким паролем не сматчится

в терминологии SQL это примерно NULL :)

https://m.habr.com/ru/post/450410/

и что это никто не замечал?

Там в оригинале вообще так написано =) After discussions with Alpine Linux, it was discovered that this issue was also reported in their Github prior to our report, but was not flagged as a security issue and thus remained unresolved until it was rediscovered and reported by Cisco. Спасибо Циске хоть =)

@iegoff халло)

фигасе)

привет

А ты думал как)

я думал что я один такой

из знакомых

а ты тоже окзывается

я всем расскажу

смайлолюб

эмодзиёб

Ага

я всем расскажу

Давайте Расскажите нам Расскажите нам всем

неет только не это! (показательно театрально закрываю лицорукой)

про баг в альпайне уже постили тут?

да

супер.

А люди, которые утверждают что просто брать и запускать процессы в докере - уже безопасно и потому это баг не имеет значения - были уже?

как катать куб кластер без приватной сетки?

Пфффф. Элементарно. Фланель вам в лапки. У нас один стартап в кимсуфи уже в 17 хостов. Полет нормальный. Катаемся кубспрэем.

Пфффф. Элементарно. Фланель вам в лапки. У нас один стартап в кимсуфи уже в 17 хостов. Полет нормальный. Катаемся кубспрэем.

А вы шифруете трафик? Сколько фланнель жрёт?

А вы шифруете трафик? Сколько фланнель жрёт?

Ноу. Так как там особо шифроваиь нечего. 5-10% одного цпу

А вы шифруете трафик? Сколько фланнель жрёт?

Как часто вы шифруете межнодный трафик?

Если он по публичной сети идёт? Всегда

Ну я бы тут поспорил насколько это публичная сеть 😏

как катать куб кластер без приватной сетки?

Была неплохая идея с навешиванием ipsec для шифрования трафика между нодами

должно завестись с любым cni