Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Micro-VM guests unconditionally boot with root debug console on vsock 1026

Cerrado Apto para principiantes
  • ¿Algo no está bien?
#2,274 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
67/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
go
Área
backend, security

Línea de trabajo

Lee cmd/ateom-microvm/run.go en la sección guestConfig() y cmd/ateom-microvm/internal/kata/config.go para trazar cómo se añaden los parámetros de la consola de depuración; comprueba también los puntos de llamada de kata.DebugConsoleDump en run.go. Se considera completado cuando los parámetros de la consola solo se activan con --kata-debug=true, las compilaciones de producción y los manifiestos de release no los activan y las rutas de arranque y fallo relevantes siguen funcionando.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

area/security

This issue was generated as part of an AI review of pre-GA debug and diagnostic surfaces.

Problem Description

In cmd/ateom-microvm/run.go:716-722, guestConfig() unconditionally appends kata.WithDebugConsole() to the guest kernel command line parameters:

func (s *AteomService) guestConfig() (memMiB, vcpus int, kparams string) {
    kparams = kata.WithDebugConsole()
    if s.kataDebug {
        kparams = kata.WithAgentDebug(kparams)
    }
    return kata.DefaultMemoryMiB, kata.DefaultVCPUs, kparams
}

In cmd/ateom-microvm/internal/kata/config.go:30-44, debugConsoleKernelParams is defined as:

baseKernelParams + " agent.debug_console agent.debug_console_vport=1026"

This configuration is applied on every actor boot, independent of whether the --kata-debug flag is enabled.

Impact
  1. The in-guest kata-agent binds an unauthenticated interactive root shell (/bin/bash or /bin/sh) on vsock port 1026.
  2. Any entity with access to the host-side hybrid vsock socket (/run/vc/vm/<actorUID>/hybrid.vsock or inside the worker pod) can connect with CONNECT 1026 and immediately obtain a root interactive shell inside the tenant's micro-VM without authentication or audit logging.
  3. On container start failures (startActorContainers and startRootfsContainer), ateom-microvm calls kata.DebugConsoleDump (run.go:881, 911) to execute shell commands (ip addr, ip route, ip neigh) inside the guest via the debug console and logs the output to host logs.
Proposed Remediation
  1. Remove kata.WithDebugConsole() from the default boot parameters in guestConfig().
  2. Gate agent.debug_console and agent.debug_console_vport=1026 strictly behind --kata-debug=true for local development.
  3. Ensure production builds and release manifests do not enable in-guest debug consoles.
Lenguaje dominante
Go
Estrellas
5.7k
Forks
612
Merge medio
2 d 13 h
PR fusionados (30 d)
555

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de agent-substrate/substrate

Todos los issues de agent-substrate/substrate

Issues similares

Más issues de Go

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.