Hallo Mario,
On Fri, Nov 19, 2021 at 08:03:20PM +0100, Mario Blättermann wrote:
> #. type: Plain text
> #: archlinux debian-bullseye debian-unstable fedora-rawhide mageia-cauldron
> #: opensuse-tumbleweed
> msgid ""
> "In the absence of cgroup namespacing, because the cgroup directory I</cg/1> "
> "is owned (and writable) by UID 9000 and process I<X> is also owned by user "
> "ID 9000, process I<X> would be able to modify the contents of cgroups files "
> "(i.e., change cgroup settings) not only in I</cg/1/2> but also in the "
> "ancestor cgroup directory I</cg/1>. Namespacing process I<X> under the "
> "cgroup directory I</cg/1/2>, in combination with suitable mount operations "
> "for the cgroup filesystem (as shown above), prevents it modifying files in "
> "I</cg/1>, since it cannot even see the contents of that directory (or of "
> "further removed cgroup ancestor directories). Combined with correct "
> "enforcement of hierarchical limits, this prevents process I<X> from escaping "
> "the limits imposed by ancestor cgroups."
> msgstr ""
> "Da das Cgroup-Verzeichnis I</cg/1> der UID 9000 gehört (und für sie "
> "schreibbar ist) und I<X> auch der Benutzerkennung 9000 gehört, wäre der "
> "Prozess I<X>, in Abwesenheit von Cgroup-Namensräumen, in der Lage, die "
> "Inhalte der Cgroup-Dateien zu verändern (d.h. die Cgroup-Einstellungen zu "
> "ändern), nicht nur in I</cg/1/2>, sondern auch in dem Vorgänger-Cgroup-"
> "Verzeichnis I</cg/1>. Da der Prozess I<X> im Namensraum unter dem Cgroup-"
> "Verzeichnis I</cg/1/2> ist, wird, in Zusammenhang mit geeigneten "
> "Einhängeaktionen für das Cgroup-Dateisystem (wie oben gezeigt), verhindert, "
> "dass er Dateien in I</cg/1> verändert, da er noch nicht einmal die Inhalte "
> "dieses Verzeichnisses (oder von weiter entfernten Cgroup-Vorgänger-"
> "Verzeichnissen) sehen kann. In Zusammenspiel mit der korrekten Durchsetzung "
> "von hierarchischen Beschränkungen verhindert dies, dass Prozess I<X> diesen "
> "von den Vorgänger-Cgroups auferlegten Beschränkungen entkommt."
>
> Im ersten Satz verwendest du für »UID« sowohl »UID« als auch
> »Benutzerkennung«. Könnte verwirrend sein.
> (kommt weiter unten noch einmal vor)
Das Original bekommt da auch einen FIXME, da dort UID und dann user ID
geschrieben wird.
Alles andere wie vorgeschlagen übernommen, auch Danke für das
Aufräumen komplizierter Sätze.
Viele Grüße
Helge
--
Dr. Helge Kreutzmann debian@helgefjell.de
Dipl.-Phys. http://www.helgefjell.de/debian.php
64bit GNU powered gpg signed mail preferred
Help keep free software "libre": http://www.ffii.de/
Attachment:
signature.asc
Description: PGP signature