firecracker-microvm/firecracker

Investigate running the jailer with reduced set of capabilities

Aberta

#1.190 aberto em 22 de jul. de 2019

Ver no GitHubGuia do colaborador
 (6 comentários) (0 reação) (1 responsável)Rust (2.393 forks)batch import
Good first issuePriority: LowStatus: ParkedType: Enhancement

Métricas do repositório

Stars
 (34.348 estrelas)
Métricas de merge de PR
 (Mesclagem média 3d 17h) (67 fundiu PRs em 30d)

Description

We currently start the jailer as the superuser (i.e. using sudo), and rely on the fact the process will deprivilege itself before exec-ing into Firecracker. It would be interesting to know if we can run the jailer using a more restricted set of capabilities instead of full superuser mode.

Guia do colaborador

Direção de pesquisa
Experimente remover capacidades do processo jailer e determine o conjunto mínimo necessário para a execução.
Pilha de tecnologia
rust
Domain
backendsecurity
Tipo Issue
Pesquisa
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
RustLinux capabilities
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
70