LWN описывает проблему в ядре Linux, где file capabilities могут вытекать за пределы user namespace. Небольшой патч показывает, что изоляция привилегий всё ещё дырявая. Детали под пейволлом.
Сейчас контейнеры в Linux — это «собери сам» из namespace, cgroups и песочниц. На LWN обсуждают идею сделать контейнер полноценным объектом ядра, чтобы упростить управление и безопасность.
Microsoft выпустила WSL 3.0.2 с автоматическим virtual NUMA для больших VM — исправлен баг от инженера Intel, из-за которого WSL не стартовал на хостах с более чем 256 тредами. Также добавлена экспериментальная поддержка разреженных VHD-дисков, фикс IPv4 forwarding и health-уведомления для WSLC.
Исследователь Oren Yomtov (Accomplish) обнаружил, что из-за skip_block_zeroing в dm-thin и размера блока 64 KiB новый контейнер мог читать остаточные данные предыдущего. Cloudflare исправил проблему без изменений со стороны клиентов, следов эксплуатации не найдено.
Вышел Incus 7.4 — система управления контейнерами и ВМ. Среди новинок: управление ключами UEFI Secure Boot, «почти живая» миграция контейнеров между инстансами, а также burst-лимиты I/O для дисков и сети.
Разбор архитектуры rootless Docker: через RootlessKit и user namespaces. Ограничения: требуется разрешение ядра на unprivileged userns, проблемы с сетевыми пробросами и некоторыми фичами. Не панацея, но снижает риски.
В Podman 6.0 добавили возможность задавать несколько статических IP-адресов для контейнера, а также улучшили network isolation — обещают, что теперь он ближе по поведению к Docker. Заодно поменяли работу Quadlet-команд и переписали обработку конфигурационных файлов, так что это уже не «поправили пару флажков».
Серия патчей для Linux 7.2 закрывает race condition при завершении контейнера: раньше можно было словить «VFS: Busy inodes after unmount», а в довесок маячил potential use-after-free. Заодно авторы выжали оптимизацию, которая заметно снижает задержку unmount у контейнеров под тяжелой I/O-нагрузкой.
Вышла версия 1.0.0 у Apple container — их инструмента для контейнеров на macOS. Сам факт релиза важнее пресс-релизного шума: теперь это уже не «пощупать на стороне», а формально стабильная версия, которую можно тыкать в CI и потом ругаться на неё по-взрослому.
В репозитории Apple появился документ `container-machine.md` про macOS Container Machines — судя по реакции на Hacker News, люди уже копают, как это устроено, а не просто кивают на очередной корпоративный анонс. Это именно документация в `github.com/apple/container`, то есть редкий случай, когда у большого вендора есть что-то полезное не в слайдах, а в коде и файлах.