外部精选
后端
#Linux#内核Linux 用户命名空间与文件能力结合可致权限提升
来源标题：[$] User namespaces + file capabilities = trouble
Josef Bacik 提交的小型补丁系列旨在修复用户命名空间中的进程可提升外部进程权限的问题。用户命名空间本应让容器内进程看似拥有 root 权限却不影响外部系统，但实际中权限隔离常难以维持。
LWN.netcorbet2026/11/5 · 昨天1 分钟阅读
这个来源的 RSS 只提供摘要，下面是原文导语；完整论述请点「打开原文」。
[+] User namespaces + file capabilities = 麻烦
User namespaces 是内核工具箱中用于组装容器的关键组件之一；在 user namespace 内的进程看似拥有对系统的完全 root 访问权限，但实际上并不会在更广泛的系统中获得额外特权。至少，设计意图如此。在实践中，将特权限制在 user namespace 内部往往被证明是困难的。以 Josef Bacik 提交的这个小型补丁系列为例，该系列旨在解决某些情况下 user namespace 内的进程能够提升其外部进程特权的问题。
本条为导读摘要，完整论述请以原文为准。