Supposons qu'un attaquant arrive à avoir la capacité d’exécuter du code dans le processus du conteneur (genre, un buffer overflow classique sans protection).
Ce n'est qu'un type d'attaque, tu peux aussi avoir (l'équivalent d') un exec ou system dans ton programme (ou dans une des bibliothèques que tu utilise) et si tu n'as pas d'autres binaires à lancer (ou des binaires qui ne permettront pas de faire quelque chose d'utile). Et ce n'est pas un cas si rare que ça.
Après, je suis bien d'accord qu'il ne faut pas vouloir à tout prix supprimer tout ce qui traîne sur le système, surtout en fonction de l'exposition du container. Mais si on peut en virer pour un coût faible, autant de ne pas se priver.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: FROM scratch
Posté par claudex . En réponse au journal Comment sécurisez-vous les images docker externes ?. Évalué à 4.
Ce n'est qu'un type d'attaque, tu peux aussi avoir (l'équivalent d') un
execousystemdans ton programme (ou dans une des bibliothèques que tu utilise) et si tu n'as pas d'autres binaires à lancer (ou des binaires qui ne permettront pas de faire quelque chose d'utile). Et ce n'est pas un cas si rare que ça.Après, je suis bien d'accord qu'il ne faut pas vouloir à tout prix supprimer tout ce qui traîne sur le système, surtout en fonction de l'exposition du container. Mais si on peut en virer pour un coût faible, autant de ne pas se priver.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche