proto.lib

Container Escape qua Privileged Container và hostPath Mount

Một container chạy privileged, mount một đường dẫn host (hoặc docker socket), hoặc có capability quá rộng, cho phép tiến trình bên trong chạm tới host thật — khiến việc chiếm quyền ứng dụng trở thành chiếm quyền cả node và mọi workload chạy trên đó.

SecurityNâng cao2026-08-25
Container Escape qua Privileged Container và hostPath Mount

Tags

#container-escape#privileged-container#hostpath#admission-control#capabilities#sandbox

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Đánh giá tin cậy trước khi cắm MCP Server bên thứ ba

Trước khi để agent gọi một MCP server hoặc plugin bên thứ ba, cần xác định nó thấy dữ liệu gì, gọi tool nào, code chạy ở đâu; sau đó pin version, chạy trong sandbox, allowlist tool cụ thể, và giám sát khi tool description đổi bất thường (tool poisoning).

#mcp#supply-chain#tool-poisoning#sandbox
SecurityNâng cao

Phát hiện Drift trên Image đang chạy (Runtime Image Drift Detection)

Container đang chạy phải giống hệt (byte-identical) với artifact đã ký; một agent giám sát so sánh digest image đang chạy với digest đã được admission chấp nhận, đồng thời theo dõi thay đổi sau khi khởi động — binary bị ghi thêm, package cài lúc runtime, hoặc mount đè lên file — vì drift đó là dấu hiệu của thao tác tắt (shortcut) hoặc xâm nhập.

#image-drift#runtime-security#immutable-filesystem#admission-control
SecurityCơ bản

Lockfile là hàng rào cung ứng: integrity, npm ci và audit PR

package-lock.json không chỉ ghi số phiên bản mà còn ghi resolved URL và integrity hash sha512 của từng tarball; npm ci từ chối cài khi lệch lock, còn reviewer cần soi resolved URL lạ và chặn script cài đặt tuỳ tiện để đóng các đường tiêm mã qua chuỗi cung ứng npm.

#npm#lockfile#supply-chain#integrity-hash