#seccomp — Public Fediverse posts

AppArmor and seccomp profiles stop container escapes at the kernel level. Learn to lock down system calls before attackers exploit them. #AppArmor #seccomp #ContainerSecurity

https://www.valtersit.com/guides/security/apparmor-and-seccomp-profiles-restricting-container-system-calls/

[Перевод] Security Profiles Operator v1: стабильные API, аудит безопасности и путь в upstream Kubernetes

Linux даёт мощные механизмы безопасности уровня ядра — seccomp, SELinux и AppArmor, — которые ограничивают возможности контейнеризированных рабочих нагрузок. Если коротко: seccomp фильтрует системные вызовы процесса, SELinux и AppArmor накладывают мандатные политики доступа к файлам, сети и возможностям. Каждый из них работает через профили, которые описывают разрешённое поведение, но писать, распространять и поддерживать такие профили вручную утомительно и легко ошибиться. Security Profiles Operator (SPO) снимает эту боль: профилями безопасности можно управлять как пользовательскими ресурсами Kubernetes, записывать их с работающих нагрузок и декларативно привязывать к подам. С выходом v1.0.0 Security Profiles Operator переводит все восемь своих API типа Custom Resource Definition (CRD, определение пользовательского ресурса Kubernetes) на версию v1. Это первый стабильный релиз проекта, подкреплённый сторонним аудитом безопасности, полным циклом работ по усилению защиты и путём миграции без простоя с любой предыдущей версии API. Команда VK Cloud перевела статью о том, как проект Security Profiles Operator за шесть лет довёл свои API до версии v1, прошёл сторонний аудит безопасности и теперь влияет на развитие самого Kubernetes. Это будет полезно тем, кто отвечает за безопасность кластеров — DevOps- и SRE-инженерам, специалистам по ИБ и разработчикам, которые пишут профили seccomp, SELinux и AppArmor для контейнеров.

https://habr.com/ru/companies/vktech/articles/1056812/

#vk_cloud #kubernetes #security_profiles_operator #seccomp #selinux #apparmor #lsm #rbac #crd #oci

my Linux syscalls table just got a cute little update :3

https://thatsillyman.win/linux/syscall-table/

#Linux #Kernel #Syscalls #OpenSource #Programming #SystemsProgramming #LowLevel #Seccomp #CProgramming #DevTools

my Linux syscalls table just got a cute little update :3

https://thatsillyman.win/linux/syscall-table/

#Linux #Kernel #Syscalls #OpenSource #Programming #SystemsProgramming #LowLevel #Seccomp #CProgramming #DevTools

Mitigating CVE-2026-31431 (“Copy Fail”) in Docker Engine
#Docker #Engineering #AF_ALG #CopyFail #CVE202631431 #Dockerengine #Seccomp #Security #Selinux

https://www.docker.com/blog/mitigating-cve-2026-31431-copy-fail-in-docker-engine/

Mitigating CVE-2026-31431 (“Copy Fail”) in Docker Engine
#Docker #Engineering #AF_ALG #CopyFail #CVE202631431 #Dockerengine #Seccomp #Security #Selinux

https://www.docker.com/blog/mitigating-cve-2026-31431-copy-fail-in-docker-engine/

[Перевод] От capabilities к AppArmor: что реально остановит атакующего в контейнере

Скомпрометированный контейнер — это момент истины для всех настроек безопасности: злоумышленник уже внутри, команды выполняются, и дальше важно понять, что действительно ограничит его действия. В этой статье на одной рабочей нагрузке разбирается, как capabilities, seccomp и AppArmor закрывают разные участки атаки в Kubernetes, где каждый механизм упирается в свои пределы и почему защита контейнеров работает только как набор слоёв. Разобрать защиту

https://habr.com/ru/companies/otus/articles/1039572/

#безопасность_Kubernetes #безопасность_контейнеров #container_security #capabilities #seccomp #LSM #AppArmor #securityContext #защита_кластера

OpenAI says Windows lacked the sandboxing tools Linux already had

https://fed.brid.gy/r/https://nerds.xyz/2026/05/openai-linux-windows-codex-sandbox/

OpenAI says Windows lacked the sandboxing tools Linux already had

https://web.brid.gy/r/https://nerds.xyz/2026/05/openai-linux-windows-codex-sandbox/

コンテナ向けセキュリティプロファイル生成ツールの紹介
https://qiita.com/kikasas/items/58ebc0da27b2eb7040a7?utm_campaign=popular_items&utm_medium=feed&utm_source=popular_items

#qiita #SELinux #container #AppArmor #SECCOMP #Podman

🥤🔒 Ah, the classic showdown: FreeBSD's #Capsicum vs. Linux's #Seccomp. It's the digital equivalent of debating whether a potato is a superior #security measure to a tomato. Spoiler alert: both are vegetables. 🥔🍅
https://vivianvoss.net/blog/capsicum-vs-seccomp #FreeBSD #Linux #Debate #Tech #Humor #HackerNews #ngated

🥤🔒 Ah, the classic showdown: FreeBSD's #Capsicum vs. Linux's #Seccomp. It's the digital equivalent of debating whether a potato is a superior #security measure to a tomato. Spoiler alert: both are vegetables. 🥔🍅
https://vivianvoss.net/blog/capsicum-vs-seccomp #FreeBSD #Linux #Debate #Tech #Humor #HackerNews #ngated

FreeBSD Capsicum vs. Linux Seccomp Process Sandboxing

https://vivianvoss.net/blog/capsicum-vs-seccomp

#HackerNews #FreeBSD #Seccomp #Sandboxing #Capsicum #Linux #Security

FreeBSD Capsicum vs. Linux Seccomp Process Sandboxing

https://vivianvoss.net/blog/capsicum-vs-seccomp

#HackerNews #FreeBSD #Seccomp #Sandboxing #Capsicum #Linux #Security

Capsicum vs seccomp — capability vs syscall‑based sandboxing #FreeBSD #Linux #capsicum #seccomp
https://vivianvoss.net/blog/capsicum-vs-seccomp

Capsicum vs seccomp — capability vs syscall‑based sandboxing #FreeBSD #Linux #capsicum #seccomp
https://vivianvoss.net/blog/capsicum-vs-seccomp

I have developed mping-sender over the last few days. It is a simple program that sends a UDP packet to a (freely selectable) multicast address every second. It is therefore well suited for testing multicast. It is partially compatible with the mping client.

Furthermore, it is protected by landlock, seccomp, libcap-ng, AppArmor, and systemd.

Source code: https://codeberg.org/mark22k/mping-sender

#Networking #Programming #dn42 #Multicast #landlock #AppArmor #libseccomp #seccomp #systemd #libcapng

crazytrace, my network simulation program that generates a crazy topology behind a TAP device to test traceroute implementations, now has an apparmor profile.

Furthermore, I have now implemented capability dropping with libcap-ng, landlock sandboxing (via a blacklist), and seccomp sandboxing (via a blacklist).

https://codeberg.org/mark22k/crazytrace/src/commit/c5eb9eaf8b12266ecad3c3d1e0cd5388f351cc72/apparmor/usr.bin.crazytrace
https://codeberg.org/mark22k/crazytrace/src/commit/c5eb9eaf8b12266ecad3c3d1e0cd5388f351cc72/src/main.cpp

#crazytrace #traceroute #Networking #Programming #Security #apparmor #libcap #libcapng #landlock #seccomp

[Перевод] Как защитить Kubernetes на уровне ядра Linux

Как защитить Kubernetes, если злоумышленник попытается выбраться из контейнера на хост? Рафаэль Натали предлагает многоуровневый подход: настройка Security Context, отказ от лишних прав, запуск контейнеров без root-доступа, а также усиление защиты с помощью AppArmor и seccomp.

https://habr.com/ru/companies/flant/articles/952012/

#security_contexts #apparmor #seccomp #kubernetes #noroot_containers #linux_namespace #runAsUser #безопасность_kubernetes #linux

Строим лабораторию по исследованию вирусов с eBPF и другими

Хабр, всем привет! Когда инфраструктура созрела до состояния персика и уже пора расширять классический SOC или вам всегда было интересно, как работает ВПО, то необходимо переходить к Threat Intelligence! Сегодня мы соберем свою лабу по исследованию вирусни/инструментов и процедур(PoC) в виртуальной среде для Linux-платформ.

https://habr.com/ru/companies/serverspace/articles/944614/

#linux #вирус #песочница #sandbox #ebpf #seccomp #podman #виртуализация #tcpdump #iptables

Строим лабораторию по исследованию ВПО

Хабр, всем привет! Когда инфраструктура созрела до состояния персика и уже пора расширять классический SOC или вам всегда было интересно, как работает ВПО, то пора переходить к Threat Intelligence! Сегодня мы соберем свою лабу по исследованию вирусни/инструментов и процедур(PoC) в виртуальной среде для Linux-платформ. Материал пригодиться, для понимания работы ВПО, написания митигации и детекции против них, а так же поиска паттернов в вашей инфраструктуре! На выходе мы получим список из артефактов, которые сможем использовать в работе.

https://habr.com/ru/companies/serverspace/articles/944056/

#linux #вирусы #песочница #sandbox #ebpf #seccomp #podman #виртуализация #tcpdump #iptables

🤔 Ever wonder how to escape from a container? Or how security tools know what permissions they have from inside that same container? It's nice to have a great script for #enumeration ... but what does it check for and why does it matter?

• Who am I? - Let’s get oriented and figure out what we have in our container. (https://some-natalie.dev/container-escapes-whoami/)

• Our shared kernel - #Containers are processes that share a kernel. What can we see about our host? (https://some-natalie.dev/container-escapes-shared-kernel/)

• Are we capable? - What sort of capabilities do we have? (https://some-natalie.dev/container-escapes-capabilities/)

• Seccomp is your friend - #Seccomp filters what a container can do. Let’s learn what’s been set for us. (https://some-natalie.dev/container-escapes-seccomp/)

• Are we in a microVM? - With #microVM runtimes gaining popularity, how do you know if you’re in a container? (https://some-natalie.dev/blog/microvm-or-container/)

(or, I did a little editing and put my workshop from @appsec_village at #DEFCON33 up) :heart_cybre:

О механизмах безопасности OpenSSH: разбираем уязвимости 2024 года

Прошлый год интересно проходил для SSH. Весной — бэкдор в xz-utils (CVE-2024-3094), в результате эксплуатации которого были скомпрометированы системы с systemd. В июле — критически опасная уязвимость «состояния гонки» для систем на базе glibc, получившая название regreSSHion. Спустя еще неделю была опубликована схожая проблема, получившая идентификатор CVE- 2024- 6409. А в августе — еще одна, уже специфичная для FreeBSD, CVE-2024-7589. Как заявляют исследователи, успешная эксплуатация «состояний гонки» позволяет получить RCE (удаленное выполнение кода) на подверженных системах. Более того, regreSSHion — главный баг, ставящий под угрозу безопасность множества SSH-серверов с glibc. Интересно, что эксплуатация уязвимости не требует особой конфигурации сервера (проблема актуальна и для конфигурации по умолчанию). При этом публичного PoC нет до сих пор. Мы решили разобраться в вопросе: так ли страшны эти «состояния гонки», так ли критически опасны? И какие механизмы в sshd призваны не допустить эксплуатации этой уязвимости или хотя бы уменьшить ущерб в случае успешной атаки?

https://habr.com/ru/companies/pt/articles/877102/

#openssh #fsop #glibc #rce #seccomp #regression #состояние_гонки #freebsd #github #malloc

I'd like to announce two new libseccomp releases today: libseccomp v2.5.6 which is a minor maintenance release to the v2.5.z release stream, and libseccomp v2.6.0 which is a new feature release for libseccomp. More details in the link below, but libseccomp v2.6.0 adds support for new architectures, transactional filter updates, and more. Give it a try, you'll like it :)

https://github.com/seccomp/libseccomp/releases/tag/v2.6.0

#seccomp

I'd like to announce two new libseccomp releases today: libseccomp v2.5.6 which is a minor maintenance release to the v2.5.z release stream, and libseccomp v2.6.0 which is a new feature release for libseccomp. More details in the link below, but libseccomp v2.6.0 adds support for new architectures, transactional filter updates, and more. Give it a try, you'll like it :)

https://github.com/seccomp/libseccomp/releases/tag/v2.6.0

#seccomp

Изоляция процессов и минимизация привилегий: использование Linux namespaces и seccomp

По статистике, каждые 39 секунд в мире происходит кибератака. Задумайтесь об этом на мгновение. А теперь представьте, что процессы

https://habr.com/ru/companies/selectel/articles/866942/

#selectel #linux #linux_namespace #seccomp #процессы #изоляция_процессов #информационная_безопасность #иб

Interesting research paper comparing #sandboxing features found in #Linux, #OpenBSD and #FreeBSD, respectively #seccomp, pledge/unveil and #Capsicum

https://arxiv.org/abs/2405.06447 by Maysara Alhindi

@op you are mentioned there as gmid was studied :flan_smile:

via @goblin

Interesting research paper comparing #sandboxing features found in #Linux, #OpenBSD and #FreeBSD, respectively #seccomp, pledge/unveil and #Capsicum

https://arxiv.org/abs/2405.06447 by Maysara Alhindi

@op you are mentioned there as gmid was studied :flan_smile:

via @goblin

Snowblind Abuses Android seccomp Sandbox To Bypass Security Mechanisms https://gbhackers.com/snowblind-android-seccomp-bypass/ #CVE/vulnerability #CyberSecurityNews #AndroidMalware #SecurityBypass #SystemCalls #Android #Malware #Seccomp

Snowblind Abuses Android seccomp Sandbox To Bypass Security Mechanisms https://gbhackers.com/snowblind-android-seccomp-bypass/ #CVE/vulnerability #CyberSecurityNews #AndroidMalware #SecurityBypass #SystemCalls #Android #Malware #Seccomp

#Container security fundamentals part 6: #seccomp https://securitylabs.datadoghq.com/articles/container-security-fundamentals-part-6/

Both #seccomp and #landlock are amazing security tools but IMHO we need a standard, friendly DSL to configure them.

Both #seccomp and #landlock are amazing security tools but IMHO we need a standard, friendly DSL to configure them.

The data isn't fully populated yet, but bincapz can also tell you what syscalls you may need to run a binary in case you are a #seccomp user, #OpenBSD pledge groups, or #Linux capabilities.

The latter two will never be perfect though, as it depends on the arguments passed to the syscalls, but at least it'll give you an idea.

The data isn't fully populated yet, but bincapz can also tell you what syscalls you may need to run a binary in case you are a #seccomp user, #OpenBSD pledge groups, or #Linux capabilities.

The latter two will never be perfect though, as it depends on the arguments passed to the syscalls, but at least it'll give you an idea.

A new minor release of libseccomp, version 2.5.5, is out with support for Linux v6.7-rc3's syscall table.

https://github.com/seccomp/libseccomp/releases/tag/v2.5.5

#seccomp

@foxxy I am not sure what https://wiki.archlinux.org/title/Bubblewrap #bubblewrap actually does, biut aparently the syscall filtering you propose is actually part of it #seccomp. Plus much more sandboxing technologies…

@foxxy I am not sure what https://wiki.archlinux.org/title/Bubblewrap #bubblewrap actually does, biut aparently the syscall filtering you propose is actually part of it #seccomp. Plus much more sandboxing technologies…

🔥Hot off the press🔥"k8s Operator, Could You Help Me Place SysCall?" #newsletter

This week we look at Custom #Seccomp Profiles (CSP) and #Security Profiles Operator (SPO), and future #WebAssembly (#Wasm) #k8s #operators.

#kubernetes #kubernetessecurity #ebpf #grpc

https://fudge.org/archive/k8s-operator-could-you-help-me-place-syscall/

I enjoyed this read by @tgross on io_uring and seccomp interaction.

https://blog.0x74696d.com/posts/iouring-and-seccomp/

#iouring #seccomp #linux #kernel