Ну да

Там генерируется иногда случайный суффикс, если ты явно имя не указал

Возможно ты явно указал имя объекта

все, я дурак
там не указан tableName поэтому у него корректно все работает

спасибо

Best practice - всё-таки по разным аккаунтам разносить

Здравствуйте. А есть на данный момент какая-то информация от Amazon по поводу данного CVE?

​​Знатную уязвимость подвезли в Linux под номером CVE-2022-0185. Обычно не публикую крупные новости, которые и так из всех источников идут, но тут решил сделать исключение из-за эпичности дыры. Наверняка полно людей, кто не знает о ней. Я сам только вчера вечером прочитал.

Имея права пользователя в системе, можно получить root. Демонстрация работы есть на Github. Подобная уязвимость работает во всех Ubuntu из-за того, что там по дефолту включены user namespaces, чего нет, к примеру, в Debian и RHEL, если не используются контейнеры. Вот тут то ориентированность на простоту и удобство Ubuntu сыграла злую шутку. Чтобы лишний раз не дёргать настройку, её включили по дефолту.

Но вообще, это уязвимость ядра Linux 5.1 и выше, так что все другие дистры с этим ядром тоже ей подвержены и обязательно нужно обновляться, если на хосте используются контейнеры. Если у вас Centos 7 или Ubuntu 18, можно не суетиться. Там более старые ядра.

Если обновление по какой-то причине невозможно, то user_namespaces Redhat советует отключить вот так:

# echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf
# sysctl -p /etc/sysctl.d/userns.conf

А Ubuntu так:
# sysctl -w kernel.unprivileged_userns_clone = 0

Хороший повод лишний раз поразмыслить над удобством контейнеров. В виртуальных машинах получить такую дырищу значительно труднее. Я вообще не припомню, чтобы были CVE с побегом из VM на хост. А в контейнерах уже не первый раз.

Примечательно, что код, содержащий эту уязвимость, добавлен около трех лет назад. Кто-то всё это время мог эксплуатировать уязвимость. А сколько их ещё таких там есть?

https://ubuntu.com/security/CVE-2022-0185
https://access.redhat.com/security/cve/CVE-2022-0185
https://bugzilla.redhat.com/show_bug.cgi?id=2040358

#security #ubuntu #docker #devops

Привет, а что амазон должен был сделать?)

Наверно патч выпустить

Под все амихи?😂

Под свою хотя бы

Это ж проблема линуха, а не Амазона в целом

Тут, собственно, вопрос в том, как быть, если контейнеры на сервере нужны, и, соответственно, userspace должен быть включен

патч тривиальный
https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=722d94847de29310e8aa03fcbdb41fc92c521756

Не пускать кого попало на сервер?)

пасиб

Привет всем.
Может кто сталкивался. Использую EKS, поставил linkerd как service mesh. И поставил linkerd viz, чтобы видеть что происходит.
Но после того, как поставил, почему-то взлетел interzone, regional bytes трафик.
То есть со 100 мегабайт до 6 гб. Абсолютно весь трафик генерирует только вм, где стоит viz. Самое странное, что ни flow logs, ни cloudwatch метрики даже в сумме со всех vm не могут набрать столько трафика.
Может кто знает, что это может быть или хотя бы как это проверять? Потому что из описания Амазон - этот трафик из s3 куда ещё в рамках одного региона.
Но s3 точно не используется . Это я так же проверял логами s3

Уже посмотрел на https://www.kernel.org/
В 5.4 и выше везде пропатчено, так что отбой тревоги)