返回新闻概览

LXC 2.0.11 已发布¶

2019年3月12日

简介¶

这是 LXC 2.0 的第 11 个错误修复版本。

请注意，LXC 2.0.10 在 2.0.11 发布前几天发布，但发布的 tarball 缺少一些文件，并且无法在 Android 上构建，因此我们最终发布了 2.0.11 来解决此问题。

以下变更日志包含了 2.0.9 到 2.0.11 之间发生的所有更改。

安全修复¶

修复 CVE-2018-6556¶

当 lxc-user-nic 被要求删除网络接口时，它会无条件地打开用户提供的路径。此代码路径可被非特权用户用于检查他们原本无法访问的路径是否存在。它还可能通过导致（只读）打开特殊的内核文件（ptmx、proc、sys）来触发副作用。更多详细信息请参见 此处。

修复 CVE-2019-5736¶

此版本修复了 CVE-2019-5736。这是一个影响所有容器运行时的重大安全问题，在连接到特权容器时可被利用。有关此错误以及如何修复它的更多详细信息，请参见 此处。

主要错误修复¶

允许连接到未定义的容器¶

例如，以下序列现在应该可以工作

lxc-start -n <container-name> -f /path/to/conf \
-s 'lxc.id_map = u 0 100000 65536' \
-s 'lxc.id_map = g 0 100000 65536' \
-s 'lxc.rootfs = /path/to/rootfs' \
-s 'lxc.init_cmd = /path/to/initcmd'

在连接中正确处理命名空间继承¶

lxc_attach 现在将正确区分调用方指定要连接到的特定命名空间和调用方未请求特定命名空间的情况。后者被 lxc_attach 解释为意味着将连接所有命名空间。这还必须包括所有继承的命名空间。

允许创建 testing 和 unstable Debian 容器¶

能够创建 testing 容器（无论下一个稳定版本的名称是什么）在多种情况下都很有用，包括但不限于测试目的。即，在 buster 发布后，无需显式切换到 bullseye 即可继续跟踪 testing。既然我们正在讨论，那么也让我们启用 unstable，它与 sid 完全相同，但没有理由不能启用它。

启用无 CAP_SYS_ADMIN 的容器（cgroup 处理）¶

如果支持 cgroup 命名空间但我们没有 CAP_SYS_ADMIN，则需要为容器挂载 cgroups。此补丁启用了没有 CAP_SYS_ADMIN 的特权和非特权容器。

改进的 cgroup2 处理¶

由于 cgroup2 变得越来越普遍，LXC 2.0.11 在该领域进行了大量改进。

支持 cgroups 的只读挂载¶

如果容器缺少 CAP_SYS_ADMIN 并且因此无法重新挂载，这将特别有用。

允许通过 SIGTERM 退出控制台¶

这允许在没有控制序列的情况下干净地退出控制台会话。相反，可以将 SIGTERM 发送到受影响的进程，它将导致 LXC 清理终止控制台会话。

在运行应用程序容器时正确计算传递的参数数量¶

在某些情况下，传递给 exec 的参数数量计算错误。此版本确保计算并传递正确数量的参数到 exec。

从代码库中删除所有不必要的锁定¶

旧版本的 LXC 在多个地方使用互斥锁来确保线程安全。对这些代码路径的仔细重新设计使我们能够从代码库中删除所有互斥锁。这导致了各种操作（例如容器启动和停止）的简化和加速。

修复 cgroup 命名空间保留¶

这消除了竞争条件，并确保缓存的文件描述符引用容器的 cgroup 命名空间而不是宿主的 cgroup 命名空间。

允许应用程序共享宿主的 pid 命名空间¶

以前的 LXC 版本不允许共享宿主的 pid 命名空间。从这个错误修复版本开始，可以正确地做到这一点。

正确处理非常短暂的应用程序容器¶

以前的版本在正确处理极短命的应用程序容器方面存在问题。例如，由于 TOCTU，LXC 可能会错误地报告容器仍在运行（而实际上它已经关闭），并拒绝重新启动它。这会导致不必要的延迟。此外，此类短命容器写入 stdout 的输出可能会丢失或被截断。此版本修复了这两个问题。

正确处理 /proc 已使用 hidepid=1 或 hidepid=2 挂载的容器¶

在以前的版本中，作为非特权用户连接到非特权容器，并且 /proc 以 hidepid=1 或 hidepid=2 挂载，将失败，因为 LXC 无法从 /proc 中检索所需的信息。现在已修复此问题。

即使支持 cgroup 命名空间，也允许强制挂载 cgroups¶

这允许用户指定 lxc.mount.auto = cgroup:mixed:force 或 lxc.mount.auto = cgroup:ro:force 或 lxc.mount.auto = cgroup:rw:force。

当支持 cgroup 命名空间时，LXC 不会为容器挂载 cgroups，因为它假设 init 系统如果需要，将自行挂载 cgroups。当用户希望运行没有 CAP_SYS_ADMIN 的容器时，此假设已经失效。

例如，基于 systemd 的容器将无法启动，因为 systemd 需要挂载 cgroups（名为 systemd 层次的旧版 cgroups 和名为统一层级的统一 cgroups）来跟踪进程。通过检测容器是否具有 CAP_SYS_ADMIN 来解决此问题。如果没有，我们将为其执行 cgroup 挂载。

但是，在支持 cgroup 命名空间时，还有更多情况下我们应该能够为容器挂载 cgroups

• init 系统本身不挂载 cgroups
  不挂载 cgroups 的 init 系统将无法使用 cgroups，尤其是在与自定义 LSM 配置文件结合使用以防止在容器内进行 cgroup {u}mount() 时。
• 应用程序容器
  应用程序容器通常不会自行挂载 cgroups。
• 只读 cgroups
  能够以只读方式挂载 cgroups 很有用，例如，防止从容器内部更改 cgroup 限制，同时允许应用程序对其自己的 cgroups 进行自检。这再次主要对应用程序容器有用。运行 systemd 的系统容器在以只读方式挂载 cgroups 时通常无法正常工作。

其他所有内容¶

2.0.11 包含了近一年半从当前 LXC 中挑选出来的错误修复，完整的列表如下所示。

下载¶

可以在我们的 下载页面 上找到发行版压缩包，我们预计大多数发行版很快就会发布 LXC 2.0.11 的打包版本。

如果您有兴趣了解个别更改或只是查看详细的开发历史，我们的稳定分支位于 Github 上。