linux - Docker:--ipc=主机和安全

Question

所以为了得到MIT-SHM在 docker 容器内运行的应用程序和主机上运行的 x11 之间工作，我必须在启动容器期间传递 --ipc host 。我已经阅读了有关它应该做什么的文档。

假设应用程序不是以 root 身份运行(在容器内)，这会打开哪些可能的攻击向量？换句话说，--ipc host对安全性的危害有多大？

Answer 1

就攻击面而言，--ipc=host 移除了一层安全性并创建了新的攻击向量，因为在主机上运行的任何应用程序在共享内存段中出现恶意数据时行为不端都可能成为一个潜在的攻击向量。

性能敏感的程序使用共享内存来存储和交换 volatile 数据(x11 帧缓冲区就是一个例子)。在您的情况下，容器中的非 root 用户可以访问 x11 服务器共享内存。

在容器内以非 root 身份运行应该在一定程度上限制未经授权的访问，假设所有共享对象都设置了正确的权限。尽管如此，如果攻击者在您的容器中获得了 root 权限，他们将有权访问 root 拥有的所有共享对象(某些对象可能仍受到 IPC_OWNER 功能 which is not enabled by default 的限制)。

您可以为主机上的每个应用程序询问自己:

• 恶意制作的共享内存段被入侵的可能性有多大？

• 妥协的后果是什么？应用程序是否受到任何限制？