Ensure that the host's process namespace is not shared

HochStufe 1Automatisiertdocker

Beschreibung

Sharing the host's PID namespace lets the container see and signal every host process. The audit inspects every running container (docker ps -q) and prints the offending names; a host with no running containers is compliant.

So wird geprüft

Prüfmethode: Shell-Befehl

shell

ids=$(docker ps -q) || exit 1; [ -z "$ids" ] && { echo compliant; exit 0; }; out=$(docker inspect --format '{{.Name}} {{.HostConfig.PidMode}}' $ids) || exit 1; bad=$(printf '%s\n' "$out" | awk '$2=="host"{print $1}'); [ -z "$bad" ] && echo compliant || printf '%s\n' "$bad"

Erwartete Ausgabe: compliant

So wird behoben

Behebungsmethode: Anleitung oder Infrastruktur-Patch

Redeploy without --pid=host (compose: remove 'pid: host').

Eigenschaften

Betriebssysteme: Beliebig
Tags: dockerruntime
Referenz: CIS Docker Benchmark v1.9.0 - 5.16 Ensure that the host's process namespace is not shared

Diesen Host prüfen

Führen Sie dies auf einem Rechner aus, den Sie prüfen dürfen. Der Scan ist schreibgeschützt.

shell

tmaegis scan --target docker