Hacktoberfest 2026：メンテナが10月に向けて印を付けた、オープンで初心者向けの issue。 Hacktoberfest の issue を見る

Micro-VM guests unconditionally boot with root debug console on vsock 1026

クローズ 初心者向け
  • 何か問題がありますか？
#2,274 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

まだ誰も着手していません。

評価

難易度
2/5
見積もり時間
1〜3時間
初心者へのやさしさ
67/100
issue の種類
バグ
明瞭さ
明確に書かれている
活発さ
活発
技術スタック
go
領域
backend, security

調査の方向性

cmd/ateom-microvm/run.go の guestConfig() 部分と cmd/ateom-microvm/internal/kata/config.go を読み、デバッグコンソールパラメータがどのように追加されるかを追跡します。また、run.go 内の kata.DebugConsoleDump の呼び出し箇所も確認してください。コンソールパラメータが --kata-debug=true でのみ有効化され、プロダクションビルドとリリースマニフェストがそれらを有効化せず、関連するブートパスとフェイルパスが引き続き機能する状態になったら完了です。

索引モデルが issue の本文から書いたものです。

説明

area/security

This issue was generated as part of an AI review of pre-GA debug and diagnostic surfaces.

Problem Description

In cmd/ateom-microvm/run.go:716-722, guestConfig() unconditionally appends kata.WithDebugConsole() to the guest kernel command line parameters:

func (s *AteomService) guestConfig() (memMiB, vcpus int, kparams string) {
    kparams = kata.WithDebugConsole()
    if s.kataDebug {
        kparams = kata.WithAgentDebug(kparams)
    }
    return kata.DefaultMemoryMiB, kata.DefaultVCPUs, kparams
}

In cmd/ateom-microvm/internal/kata/config.go:30-44, debugConsoleKernelParams is defined as:

baseKernelParams + " agent.debug_console agent.debug_console_vport=1026"

This configuration is applied on every actor boot, independent of whether the --kata-debug flag is enabled.

Impact
  1. The in-guest kata-agent binds an unauthenticated interactive root shell (/bin/bash or /bin/sh) on vsock port 1026.
  2. Any entity with access to the host-side hybrid vsock socket (/run/vc/vm/<actorUID>/hybrid.vsock or inside the worker pod) can connect with CONNECT 1026 and immediately obtain a root interactive shell inside the tenant's micro-VM without authentication or audit logging.
  3. On container start failures (startActorContainers and startRootfsContainer), ateom-microvm calls kata.DebugConsoleDump (run.go:881, 911) to execute shell commands (ip addr, ip route, ip neigh) inside the guest via the debug console and logs the output to host logs.
Proposed Remediation
  1. Remove kata.WithDebugConsole() from the default boot parameters in guestConfig().
  2. Gate agent.debug_console and agent.debug_console_vport=1026 strictly behind --kata-debug=true for local development.
  3. Ensure production builds and release manifests do not enable in-guest debug consoles.
主要言語
Go
スター
5.7k
フォーク
612
平均マージ
2日 11時間
マージ済み PR（30日）
537

環境構築

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

agent-substrate/substrate のほかの issue

agent-substrate/substrate の issue をすべて見る

似ている issue

Go の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。