Ich mach Pause von Kodi

Was? Warum?

Volumes sind ein gängiges Thema in Docker und nicht weg zu denken.

Ich wollte mit meinem Beispiel nur sagen, dass

• wenn ich nicht root bin
• Docker installiert ist
• ich als non-root User einen Container starten kann, der dann innerhalb des Containers root ist (ist bei fast allen Containern so)

ich mir ganz easy einfach ALLES in den Container mounten kann. Unter anderem auch "/etc". Und dann ist es mir schon egal ob ich auf dem Host root bin oder nicht. Denn dann hole ich mir root über den Docker, trage mich in die sudoers ein, ändere Passworte und was weiß ich noch alles.

@tavoc es geht mir dabei wie ich ein System angreifen kann und nicht was "Best Practice" wäre

Zitat von tavoc

das klappt nur, wenn du den Container als root ausführst oder ID/GRoup 0 ist

Was du nicht sagst Das habe ich ja gesagt. Steht ja oben so

Und sehr sehr viele Container haben intern root. Da reicht es, wenn ich mir einen dusseligen Apache-Container (httpd heißt der) installiere. Was ich mir dafür ziehe ist ja erstmal egal. Irgendeinen Container finde ich schon. Zur Not ein Ubuntu und da kann ich dann mit sudo arbeiten.

Docker kann man definitiv "härten". Oftmals verbunden mit eigenen Docker Images, die man sich selbst baut. Das, was man von Docker Hub bekommt ist meist für die breite Masse gemacht,

Und grundlegend ist es auch nicht soooo schädlich einen Docker als root laufen zu haben. Viele nutzen diese Services rein intern im eigenen Netz. Man kann halt, wie bei so vielem, die Sache aber auch ausnutzen. Man muss halt nur wissen wie.

Wenn ein Container mir mal kein root gibt, dann baue ich ihn halt so um bis ihn halt so habe wie ich ihn brauche.
Das ist noch nicht mal schwer. Und ich bezeichne mich bei weitem nicht als Docker-Guru. Im Endeffekt sind die meisten Docker Container ein stupides Linux. Und wenn ich darin root bin und mir von "außen" Dateien rein hole (via Volume) dann haben die Dateien "root:root" im Container und ich habe die I'D "0"
Das üble daran ist....Das hinterlässt keine Spuren. Ich kann die History löschen, Logs manipulieren....etc. pp. Als root kann ich alles machen.

Man kann Docker aber auch so einstellen, dass ich einen Container nur als root starten kann. Den Container kann ich so umbauen, dass er intern kein root hat. Das ist oftmals etwas trickreicher, da die Anwendung im Container dafür ausgelegt wurde unter root zu laufen. Bei einem Apache Container muss ich dann Dateiberechtigungen anpassen, damit der Container startet. Das ist etwas aufwändiger als einen non-root Docker für root umzuschreiben. Aber es geht und man kann auch das sicher gestalten.

Zitat von jkdask

Normalerweise kann nur root überhaupt Container starten außer man erlaubt das explizit auch anderen Benutzern. Man auch den Docker Daemon rootless benutzen mit ein paar Einschränkungen. So oder so braucht ein Angreifer erstmal Zugriff auf den Host, um den von DaVu beschriebenen Angriff auszuführen.

Genau so isses.

Die offizielle Anleitung zur Installation von Docker unter Linux sieht das aber schon so vor, dass ich Docker als non-root User starten kann. Der Daemon als solches läuft natürlich unter Root. Und ja...ohne Zugriff auf den Host geht da natürlich nichts. Aber spinnen wir mal weiter....eine Kodi Instanz, die nicht unter root läuft....ein dubioses Add-on, welches mir eine reverse shell eröffnet und dann läuft vielleicht auch noch docker auf dem System wo ich einen Container als non-root starten kann. Da bin ich schneller root als manche "Blaubärkuchen" sagen können

Wie @tavoc aber schon ganz richtig sagte....wir schweifen hier wirklich ein wenig ab. Es macht nur Spaß darüber zu schreiben und das Wissen zu teilen. Vielleicht hilft es ja dem ein oder anderen.

Zitat von te36

Naja. Eine idee von containern ist ja, das man da drin alte Software verewigt, auf die man angewiesen ist, aber die nicht weiterentwickelt wird. Und bei der man deswegen davon ausgehen kann, das die sicherheitsluecken haben wird

Das ist vielleicht wirklich nur "eine" Idee. DIE IDEE ist das definitiv nicht. Ganz im Gegenteil. In Zeiten von Kubernetes ist das völlige Gegenteil der Fall. Das schöne an Containern ist, dass ich nicht alle Abhängigkeiten auf dem Host-System installieren muss um eine einzelne Anwendung zu betreiben. Ich muss mein System nicht mit Java zu müllen, nur weil ich es vielleicht für eine Anwendung brauche, die ich auch in nem Docker laufen lassen kann. Da habe ich die Abhängigkeiten innerhalb des Containers und auch nur dort. Und im Verbund mit Kubernetes läuft das ganze dann auch noch verdammt hoch verfügbar.

Das einzige, was sich der Container mit dem Host teilt, sind Netzwerk, CPU, RAM und den Kernel. Viel mehr aber auch nicht. Alles andere ist ziemlich autark. Natürlich kann ich auch alte Software in einem Container installieren. Das ist aber nicht der Grundgedanke.

Ich betreibe an der Arbeit in dem Team, in dem ich tätig bin unsere komplette Produktion inklusive des Monitorings, des Loggins und Alertings komplett in Containern. Wenn ich da meinem Kunden mit "wir haben da mal alte abgehangene Software installiert" komme, dann bin ich meinen Job los . Latest und greatest muss es auch nicht sein....aber wenigstens "stable" und nicht "eol".

Das gibt es nicht nur für Fedora. Ist auch schon ziemlich lange aufm Markt. Ich nutze Fedora und auch immer noch Docker. Läuft tadellos.

Verwende aber auch Podman an der Arbeit in unserer Build- und Deploy-Pipeline. Das läuft sogar stabiler als Docker. Lustiger Weise bauen wir somit mit Podman Docker Images ;).

Grundlegend ist es pupsegal was für ein Overlay darüber läuft. Unter der Haube ist es ohnehin Containerd.

@jkdask

Zu sagen, dass es keinen Grund dafür gibt, ist doch ziemlich weit her geholt. Es kommt immer auf den Anwendungsfall an. Ein Dnytrace Container zum Mutli-Cloud Monitoring mounted sich den kompletten "/etc" als zusätzlichen Pfad in seinen Container. Das ist ein ganz normales Verhalten. Sonst könnte der Container weder seinen Host noch die auf dem Host laufenden Container monitoren.

Ich gebe zu....ein ziemlich mächtiger Container und weit weg von "üblich" aber so funktioniert er nun mal.

Von daher....Es kommt immer drauf an, was ich machen möchte

@rolappes darf hier jeder gern an der Diskussion Teil nehmen.

@te36 und ich müssen uns nicht vertragen weil wir uns gar nicht streiten. Ich verstehe das Problem gar nicht.

Dürfen wir hier nicht mal offen über Security Themen sprechen. Ich finde es ein extrem interessantes Thema und spreche gern darüber. Und offensichtlich erzeugt es einige Aha-Effekte. Auch bei mir.

@jkdask stimmt. Das komplette root wird gemountet. Was mit Dynatrace geht ist schon richtig mächtig. Das geht runter bis auf Code analyse während der Laufzeit.

Warum es nicht nur gezielt die eine oder andere Datei sein kann, musst du die Dynatrace Entwickler fragen. Im Endeffekt liest das Teil jeden auch nur verfügbaren Socket aus. Das Ding sagt dir sogar wie lange es gedauert hat bis die Website bei einem User in der Mongolei vollständig für ihn sichtbar war. Das Ding ist der Knaller wenn es um Analyse geht. Als "nicht Entwickler" verstehe ich oftmals nur Bahnhof. Unsere Entwickler sind aber sehr dankbar, wenn es mal Performance-Einbußen gibt.