Ensure that the host's IPC namespace is not shared

HochStufe 1Automatisiertdocker

Beschreibung

Sharing the host's IPC namespace exposes host shared memory segments and semaphores to the container. The audit inspects every running container (docker ps -q) and prints the offending names; a host with no running containers is compliant.

So wird geprüft

Prüfmethode: Shell-Befehl

shell

ids=$(docker ps -q) || exit 1; [ -z "$ids" ] && { echo compliant; exit 0; }; out=$(docker inspect --format '{{.Name}} {{.HostConfig.IpcMode}}' $ids) || exit 1; bad=$(printf '%s\n' "$out" | awk '$2=="host"{print $1}'); [ -z "$bad" ] && echo compliant || printf '%s\n' "$bad"

Erwartete Ausgabe: compliant

So wird behoben

Behebungsmethode: Anleitung oder Infrastruktur-Patch

Redeploy without --ipc=host (compose: remove 'ipc: host').

Eigenschaften

Betriebssysteme: Beliebig
Tags: dockerruntime
Referenz: CIS Docker Benchmark v1.9.0 - 5.17 Ensure that the host's IPC namespace is not shared

Diesen Host prüfen

Führen Sie dies auf einem Rechner aus, den Sie prüfen dürfen. Der Scan ist schreibgeschützt.

shell

tmaegis scan --target docker