Rozdíly

Zde můžete vidět rozdíly mezi vybranou verzí a aktuální verzí dané stránky.

--- troubleshooting:thumbnails [2017/11/12 00:32] – [Zjištění z vlastního programu] djbuldog
+++ troubleshooting:thumbnails [2025/08/28 10:09] (aktuální) – upraveno mimo DokuWiki 127.0.0.1
@@ Řádek 183: / Řádek 183: @@
     * např. ta zranitelnost spuštění škodlivého kódu přes wine při pokusu extrahovat ikonu z exe souboru
   * kontroloval jsem, že bwrap má nastaven setuidbit, ale v kernel ty user namespaces (''CONFIG_USER_NS'') nemám
+  * zapnutí v kernel napomohlo :D
+  * debian prý by default blokuje user namespaces přes sysctl
+    * je vůbec ten usernamespace v kernel potřeba? neměl by stačit ten setuidbit?
+  * tohle se snaží udělat thumbnail-factory
+<code>
+mkdir /tmp/gnome-desktop-thumbnailer-Y8FU9Y
+"/usr/bin/bwrap" "--ro-bind" "/usr" "/usr" "--ro-bind" "/lib" "/lib" "--ro-bind" "/lib64" "/lib64" "--proc" "/proc" "--dev" "/dev" "--symlink" "usr/bin" "/bin" "--symlink" "usr/sbin" "/sbin" "--chdir" "/" "--setenv" "GIO_USE_VFS" "local" "--unshare-all" "--die-with-parent" "--bind" "/tmp/gnome-desktop-thumbnailer-Y8FU9Y" "/tmp" "--ro-bind" "/home/djbuldog/Pictures/Sn\303\255mek z 2014-11-18 20:27:27.png" "/tmp/gnome-desktop-file-to-thumbnail.png" "--seccomp" "5"  "/usr/bin/gdk-pixbuf-thumbnailer" "-s" "256" "file:///tmp/gnome-desktop-file-to-thumbnail.png" "/tmp/gnome-desktop-thumbnailer.png"
+</code>
+  * výsledek
+<code>
+bwrap: Creating new namespace failed, likely because the kernel does not support user namespaces.  bwrap must be installed setuid on such systems.
+</code>
+  * přes strace jsem našel jen jedno podezřelé (za to může asi to zakázané user ns přes sysctl?)
+<code>
+stat("/sys/module/user_namespace/parameters/enable", 0x7ffee7d684b0) = -1 ENOENT (No such file or directory)
+</code>
+  * zjistil jsem, že problém jde replikovat nejjednodušeji takhle
+<code>
+bwrap --unshare-all bash
+</code>
+  * hele.. a co dělá ten unshare-all? teď jsem zjistil, že existuje unshare-pid, unshare-net... nemusím mít kvůli tomu víc těch  namespaces v kernelu?
+    * https://github.com/projectatomic/bubblewrap/issues/139
+  * zapnul jsem namespace pro PID, UTS, IPC a jede to !!! :)