firecracker-microvm/firecracker

Investigate running the jailer with reduced set of capabilities

Open

#1,190 opened on 2019年7月22日

GitHub で見る
 (6 comments) (0 reactions) (1 assignee)Rust (34,348 stars) (2,393 forks)batch import
Good first issuePriority: LowStatus: ParkedType: Enhancement

説明

We currently start the jailer as the superuser (i.e. using sudo), and rely on the fact the process will deprivilege itself before exec-ing into Firecracker. It would be interesting to know if we can run the jailer using a more restricted set of capabilities instead of full superuser mode.

コントリビューターガイド

技術スタック
rust
領域
security
Issue 種別
research
難度新しい貢献者にとっての実装難度です。1 は非常に小さな変更、5 は専門的な作業です。
4
推定時間経験ある貢献者が調査、実装、テスト、pull request 準備にかけるおおよその時間範囲です。
1-2 days
活動状況Issue が今どれだけ取り組みやすいかを示します。新しい、活発、古い、ブロック中、またはメンテナー入力待ちなどです。
stale
明確さ期待される変更、受け入れ条件、次の手順がどれだけ明確かを示します。
clear
前提条件
Linux capabilitiesRust programmingFirecracker architecture
初心者向け度初回貢献者にどれだけ取り組みやすいかを 1-100 で推定したスコアです。
20
調査方針
Review existing PR #1200 related to this issue. Examine the jailer source code in src/jailer/ to understand current capability usage. Investigate Linux capabilities necessary for jailer functionality and test running with a reduced set.