☰

chroot 내에서 사용자 네임스페이스에 진입하는 것을 방지하는 규칙은 무엇입니까?

tag-icon • tag-icon security chroot namespace
chroot 내에서 사용자 네임스페이스에 진입하는 것을 방지하는 규칙은 무엇입니까? 
# rpm -q --whatprovides /usr/bin/unshare
util-linux-2.32-2.fc28.x86_64
# unshare -r
#

즉, 위쪽은 성공하고 아래쪽은 실패합니다. 어떤 규칙으로 인해 이런 일이 발생하나요?

# rpm -q --whatprovides /usr/sbin/chroot
coreutils-8.29-6.fc28.x86_64
# chroot fedora-27
# rpm -q --whatprovides /usr/bin/unshare
util-linux-2.30.2-1.fc27.x86_64
# strace unshare -r
...
unshare(CLONE_NEWUSER)      = -1 EPERM (Operation not permitted)

답변1

https://serverfault.com/a/648637/133475

다음을 사용할 수 있는 프로세스 chroot가 chroot알려져 있습니다 . 실제로 이는 허용되지 않으며 실패합니다.unshare -rchrootchroot

공유 해제: 공유 해제 실패: 작업이 허용되지 않습니다.

어느 것이 일치하는가 공유 취소(2) 문서:

EPRM(리눅스 3.9부터)

CLONE_NEWUSER에 지정된배너호출자는 chroot 환경에 있습니다(즉, 호출자의 루트 디렉토리가 마운트 네임스페이스의 루트 디렉토리와 일치하지 않습니다).

관련 정보