Ensure LXD instances do not enable container nesting

Trung bìnhCấp 2Tự độnglxd

Mô tả

security.nesting=true exposes /proc and /sys more widely and relaxes AppArmor so containers can run their own container runtimes, enlarging the escape surface. The audit loops over instances from "lxc list --format csv -c n" (default project) and fails if any expanded configuration sets security.nesting to a truthy value. Hosts that deliberately run Docker-in-LXD should document the exception.

Cách kiểm tra

Phương pháp kiểm tra: Lệnh shell

shell

lxc info >/dev/null 2>&1 || exit 1
names=$(lxc list --format csv -c n 2>/dev/null) || exit 1
bad=0
for n in $names; do
  cfg=$(lxc config show --expanded "$n" 2>/dev/null) || exit 1
  if printf '%s\n' "$cfg" | grep -Eiq '^[[:space:]]*security\.nesting:[[:space:]]*"?(true|1|yes|on)"?[[:space:]]*$'; then echo "nesting: $n"; bad=1; fi
done
[ "$bad" -eq 0 ] && echo compliant

Đầu ra mong đợi: compliant

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

lxc config unset <instance> security.nesting (or remove it from the profile), then restart the instance. Move workloads that need nested containers to a VM instance (lxc launch --vm).

Thuộc tính

Hệ điều hành: Bất kỳ
Thẻ: lxdcontainersisolation
Tham chiếu: CIS-style LXD hardening guidance - Container nesting (no CIS benchmark section; verify against your hardening standard)

Kiểm tra máy này

Chạy lệnh này trên máy bạn được phép kiểm tra. Lần quét chỉ ở chế độ đọc.

shell

tmaegis scan --target lxd --level 2