Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

README: writable --bind paths are not isolated from hardlinks created outside the sandbox

Aperta Adatta ai principianti
  • Qualcosa non va?
#813 3 commenti 1 reazione 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

@sairex53 ci sta già lavorando.

Dal 12/10/2026.

  • #816 di @sairex53 — aperta

Valutazione

Difficoltà
1/5
Tempo stimato
Meno di un'ora
Idoneità per principianti
88/100
Tipo di issue
Documentazione
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
linux
Ambito
documentation, security

Direzione di ricerca

Apri la sezione "Limitations" del README e rivedi le avvertenze esistenti su TIOCSTI, i socket D-Bus e seccomp. Aggiungi un punto che descriva l'aliasing tramite hardlink per i percorsi --bind scrivibili e raccomandi un filesystem o un mount distinto quando è necessario l'isolamento; il lavoro è completato quando l'avvertenza e le indicazioni su EXDEV sono documentate chiaramente.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

The README's "Limitations" section lists TIOCSTI, D-Bus socket exposure and seccomp interference with application sandboxes. It doesn't mention this caveat:

A --bind <dir> <dir> writable mount reflects the live host directory. Any other process on the host with write access to <dir>, inside or outside the sandbox, can run ln <outside-file> <dir>/x at any time, including after bwrap starts. A write to x from inside the sandbox then reaches the outside file's inode.

This matches bubblewrap's stated model, in which the caller defines the security policy, so I'm not reporting it as a bug. It is a gap in the documented caveats, though: downstream tools that build write confinement on --bind (agent sandboxes and similar) each have to discover it independently.

Suggested addition: one bullet under Limitations noting the hardlink aliasing risk, and recommending a distinct filesystem or mount for writable roots when that guarantee matters. A link across filesystems fails with EXDEV, whoever attempts it.

Lingua principale
C
Stelle
9.1k
Fork
399
Merge medio
2g 14h
PR unite (30g)
3

Preparare l'ambiente

Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di containers/bubblewrap

Tutte le issue di containers/bubblewrap

Issue simili

Altre issue su C

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.