پست 🟡 باگی که یادآوری می‌کنه چرا امنیت کانتینر هم برای زیرساخت ابری مهمه

🟡 باگی که یادآوری می‌کنه چرا امنیت کانتینر هم برای زیرساخت ابری مهمه ◀️ چون تو Kolla-Ansible همه سرویس‌های OpenStack (از Nova تا Neutron و Keystone) داخل کانتینرهای Docker اجرا می‌شن، امنیت خود کانتینر (runc) مستقیم رو زیرساخت شما تاثیر داره و یه نمونه خوب برای یادآوری این موضوع باگ‌ معروف به Leaky Vessels هست. ◀️ جدی‌ترینش CVE-2024-21626 بود: یه نشتی File Descriptor داخلی تو runc باعث می‌شد وقتی یه کانتینر جدید ساخته می‌شه (یا با runc exec وارد یه کانتینر می‌شید)، مسیر Working Directory اون پردازش اشتباهی به فضای فایل‌سیستم هاست اشاره کنه، نه فضای خود کانتینر. ◀️ نتیجه این نشتی، دور زدن کامل مرز Container Isolation بود؛ یعنی یه Image مخرب یا یه Dockerfile آلوده می‌تونست از همین مسیر به فایل‌سیستم هاست دسترسی پیدا کنه و حتی باینری‌های سیستم رو Overwrite کنه. ◀️ نکته مهم برای محیط‌های OpenStack: چون در Kolla-Ansible معمولاً همه سرویس‌ها از Image های رسمی از پیش ساخته‌شده استفاده می‌کنن (نه Build کردن Image دلخواه)، ریسک مستقیم این باگ کمتره، ولی اگه Image های سفارشی یا پروژه‌های جانبی داخل همون Docker Runtime اجرا می‌کنید، این دقیقاً همون موضوعیه که باید مراقبش باشین ✅ نکته کلی : کانتینر یه چیز کاملاً ایزوله نیست، فقط یه مرز نرم‌افزاریه برای محیط پروداکشن، همیشه Docker Engine و runc رو به‌روز نگه دارید، حتی اگه فکر می‌کنید فقط Image های "امن" اجرا می‌کنید. #Docker #Containers #KollaAnsible #امنیت_زیرساخت #نکته_فنی 📱 @Abrplusdocs t.me/abrplusdocs