Sicherheit Docker wie es läuft als Root

Question

A Docker blog post zeigt:

Docker Behälter sind, die standardmäßig recht sicher; vor allem, wenn Sie in den Containern Pflege Ihre Prozesse laufen als nicht-privilegierte Benutzer (dh nicht root).“

Also, was ist das Sicherheitsproblem, wenn ich als root unter dem Docker renne nehmen ? Ich meine, es ist ziemlich sicher, wenn ich mich um meine Prozesse als nicht-privilegierte Benutzer kümmere, also, wie kann ich schädlich sein, in einem Container als root-Benutzer zu hosten? Ich frage nur, um es zu verstehen, wie kann es isoliert werden, wenn es nicht sicher ist, wenn es als root läuft? Welche Systemaufrufe können das Host-System dann freilegen?

Answer 1

Wenn Sie als root ausführen, können Sie auf eine breitere Palette von Kernel-Dienste zugreifen.Zum Beispiel können Sie:

• manipulieren von Netzwerkschnittstellen, Routing-Tabellen, Netfilter-Regeln;
• erstellen rohe Sockets (und allgemein gesprochen, "exotische" Sockets, Ausübung von Code, der weniger Überprüfung als gute alte TCP und UDP erhalten hat);
• mounten/unmounten/remounten von Dateisystemen;
• Dateibesitz ändern, Berechtigungen, erweiterte Attribute, überschreiben reguläre Berechtigungen (d. H. Mit leicht unterschiedlichen Code-Pfaden);
• usw.

(Es ist interessant festzustellen, dass alle diese Beispiele von capabilities geschützt sind.)

Der entscheidende Punkt ist, dass als root können Sie mehr Kernel-Code auszuüben; Wenn dieser Code eine Sicherheitslücke aufweist, können Sie ihn als Root auslösen, aber nicht als normaler Benutzer.

Wenn jemand einen Weg findet, aus einem Container auszubrechen, wenn Sie als root ausbrechen, können Sie natürlich viel mehr Schaden anrichten als bei einem normalen Benutzer.

Answer 2

Sie können den Host-Computer neu starten, indem Sie im Andockfenster auf /proc/sysrq-trigger zurückgeben. Prozesse, die im Andockfenster als root ausgeführt werden, können dies tun.

Dies scheint ziemlich guten Grund, nicht Prozesse als root in Docker zu laufen;)