* [sisyphus] electron v 5.0 and user namespaces feature
@ 2019-10-21 22:30 Michael Bykov
2019-10-21 22:56 ` Vladimir D. Seleznev
2019-10-23 22:06 ` Ivan Zakharyaschev
0 siblings, 2 replies; 4+ messages in thread
From: Michael Bykov @ 2019-10-21 22:30 UTC (permalink / raw)
To: ALT Linux Sisyphus discussions
Салют,
в electron v.5.0 добавили запуск renreder-процесса в sandboxe, для
безобасности, чтобы было не хуже, чем в вебе.
Но при старте возникает ошибка:
$ npm start
[27373:1022/003935.785013:FATAL:setuid_sandbox_host.cc(157)] The SUID
sandbox helper binary was found, but is not configured correctly.
Rather than run without sandboxing I'm aborting now. You need to make
sure that /home/michael/tmp/sindresorhus/node_modules/electron/dist/chrome-sandbox
is owned by root and has mode 4755.
Отлично, говорят, лечится
$ cd node_modules/electron/dist
$ sudo chown root chrome-sandbox
$ sudo chmod 4755 chrome-sandbox
Тут у всех Линуксов все должно работать, но у нас (и в Arch) - опять ошибка
$ npm start
The setuid sandbox is not running as root. Common causes:
* An unprivileged process using ptrace on it, like a debugger.
* A parent process set prctl(PR_SET_NO_NEW_PRIVS, ...)
Failed to move to new namespace: PID namespaces supported, Network
namespace supported, but failed: errno = Operation not permitted
Отлично, говорят лечится
https://github.com/electron/electron/issues/17972:
$ sudo sysctl kernel.unprivileged_userns_clone=1
или https://github.com/jessfraz/dockerfiles/issues/65#issuecomment-266532289:
$ echo 'kernel.unprivileged_userns_clone=1' > /etc/sysctl.d/00-local-userns.conf
$ service procps restart
Но у нас такие штуки не проходят, естественно.
sysctl: cannot stat /proc/sys/kernel/unprivileged_userns_clone: No
such file or directory
И как быть?
Вот что они пишут:
------------
Here's an article I found describing the background of why it's not
enabled by default: Controlling access to user namespaces and here's
how to enable it (from Enable user namespaces in Debian kernel):
https://lwn.net/Articles/673597/
http://superuser.com/questions/1094597/enable-user-namespaces-in-debian-kernel
-------------
У меня p8 + Сизиф:
$ uname -a
(git)-[master]
Linux asus 4.9.133-std-def-alt0.M80P.1 #1 SMP Mon Oct 15 16:46:38 UTC
2018 x86_64 GNU/Linux
Может быть, нужен какой-то более свежий кернел? Может, в p9 это решено уже?
Где про эти юзер-неймспейсы у нас в Альте прочитать-узнать?
--
М.
http://diglossa.org
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [sisyphus] electron v 5.0 and user namespaces feature
2019-10-21 22:30 [sisyphus] electron v 5.0 and user namespaces feature Michael Bykov
@ 2019-10-21 22:56 ` Vladimir D. Seleznev
2019-10-22 9:23 ` Michael Bykov
2019-10-23 22:06 ` Ivan Zakharyaschev
1 sibling, 1 reply; 4+ messages in thread
From: Vladimir D. Seleznev @ 2019-10-21 22:56 UTC (permalink / raw)
To: ALT Linux Sisyphus discussions
On Tue, Oct 22, 2019 at 01:30:36AM +0300, Michael Bykov wrote:
> Салют,
>
> в electron v.5.0 добавили запуск renreder-процесса в sandboxe, для
> безобасности, чтобы было не хуже, чем в вебе.
>
> Но при старте возникает ошибка:
>
> $ npm start
>
> [27373:1022/003935.785013:FATAL:setuid_sandbox_host.cc(157)] The SUID
> sandbox helper binary was found, but is not configured correctly.
> Rather than run without sandboxing I'm aborting now. You need to make
> sure that /home/michael/tmp/sindresorhus/node_modules/electron/dist/chrome-sandbox
> is owned by root and has mode 4755.
>
> Отлично, говорят, лечится
>
> $ cd node_modules/electron/dist
> $ sudo chown root chrome-sandbox
> $ sudo chmod 4755 chrome-sandbox
>
> Тут у всех Линуксов все должно работать, но у нас (и в Arch) - опять ошибка
> $ npm start
>
> The setuid sandbox is not running as root. Common causes:
> * An unprivileged process using ptrace on it, like a debugger.
> * A parent process set prctl(PR_SET_NO_NEW_PRIVS, ...)
> Failed to move to new namespace: PID namespaces supported, Network
> namespace supported, but failed: errno = Operation not permitted
>
> Отлично, говорят лечится
>
> https://github.com/electron/electron/issues/17972:
>
> $ sudo sysctl kernel.unprivileged_userns_clone=1
>
> или https://github.com/jessfraz/dockerfiles/issues/65#issuecomment-266532289:
>
> $ echo 'kernel.unprivileged_userns_clone=1' > /etc/sysctl.d/00-local-userns.conf
> $ service procps restart
>
> Но у нас такие штуки не проходят, естественно.
> sysctl: cannot stat /proc/sys/kernel/unprivileged_userns_clone: No
> such file or directory
>
> И как быть?
>
> Вот что они пишут:
> ------------
> Here's an article I found describing the background of why it's not
> enabled by default: Controlling access to user namespaces and here's
> how to enable it (from Enable user namespaces in Debian kernel):
> https://lwn.net/Articles/673597/
> http://superuser.com/questions/1094597/enable-user-namespaces-in-debian-kernel
> -------------
>
> У меня p8 + Сизиф:
>
> $ uname -a
> (git)-[master]
> Linux asus 4.9.133-std-def-alt0.M80P.1 #1 SMP Mon Oct 15 16:46:38 UTC
> 2018 x86_64 GNU/Linux
>
> Может быть, нужен какой-то более свежий кернел? Может, в p9 это решено уже?
>
> Где про эти юзер-неймспейсы у нас в Альте прочитать-узнать?
sysctl kernel.userns_restrict=0
--
С уважением,
Владимир Селезнев
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [sisyphus] electron v 5.0 and user namespaces feature
2019-10-21 22:56 ` Vladimir D. Seleznev
@ 2019-10-22 9:23 ` Michael Bykov
0 siblings, 0 replies; 4+ messages in thread
From: Michael Bykov @ 2019-10-22 9:23 UTC (permalink / raw)
To: ALT Linux Sisyphus discussions
вт, 22 окт. 2019 г. в 01:56, Vladimir D. Seleznev <vseleznv@altlinux.org>:
>
> On Tue, Oct 22, 2019 at 01:30:36AM +0300, Michael Bykov wrote:
> > Салют,
> >
> > в electron v.5.0 добавили запуск renreder-процесса в sandboxe, для
> > безобасности, чтобы было не хуже, чем в вебе.
> >
> > Но при старте возникает ошибка:
> >
> > $ npm start
> >
> > [27373:1022/003935.785013:FATAL:setuid_sandbox_host.cc(157)] The SUID
> > sandbox helper binary was found, but is not configured correctly.
> > Rather than run without sandboxing I'm aborting now. You need to make
> > sure that /home/michael/tmp/sindresorhus/node_modules/electron/dist/chrome-sandbox
> > is owned by root and has mode 4755.
> >
> > Отлично, говорят, лечится
> >
> > $ cd node_modules/electron/dist
> > $ sudo chown root chrome-sandbox
> > $ sudo chmod 4755 chrome-sandbox
> >
> > Тут у всех Линуксов все должно работать, но у нас (и в Arch) - опять ошибка
> > $ npm start
> >
> > The setuid sandbox is not running as root. Common causes:
> > * An unprivileged process using ptrace on it, like a debugger.
> > * A parent process set prctl(PR_SET_NO_NEW_PRIVS, ...)
> > Failed to move to new namespace: PID namespaces supported, Network
> > namespace supported, but failed: errno = Operation not permitted
> >
> > Отлично, говорят лечится
> >
> > https://github.com/electron/electron/issues/17972:
> >
> > $ sudo sysctl kernel.unprivileged_userns_clone=1
> >
> > или https://github.com/jessfraz/dockerfiles/issues/65#issuecomment-266532289:
> >
> > $ echo 'kernel.unprivileged_userns_clone=1' > /etc/sysctl.d/00-local-userns.conf
> > $ service procps restart
> >
> > Но у нас такие штуки не проходят, естественно.
> > sysctl: cannot stat /proc/sys/kernel/unprivileged_userns_clone: No
> > such file or directory
> >
> > И как быть?
> >
> > Вот что они пишут:
> > ------------
> > Here's an article I found describing the background of why it's not
> > enabled by default: Controlling access to user namespaces and here's
> > how to enable it (from Enable user namespaces in Debian kernel):
> > https://lwn.net/Articles/673597/
> > http://superuser.com/questions/1094597/enable-user-namespaces-in-debian-kernel
> > -------------
> >
> > У меня p8 + Сизиф:
> >
> > $ uname -a
> > (git)-[master]
> > Linux asus 4.9.133-std-def-alt0.M80P.1 #1 SMP Mon Oct 15 16:46:38 UTC
> > 2018 x86_64 GNU/Linux
> >
> > Может быть, нужен какой-то более свежий кернел? Может, в p9 это решено уже?
> >
> > Где про эти юзер-неймспейсы у нас в Альте прочитать-узнать?
>
> sysctl kernel.userns_restrict=0
Владимир, отлично, спасибо, все работает!
> --
> С уважением,
> Владимир Селезнев
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sisyphus
--
М.
http://diglossa.org
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [sisyphus] electron v 5.0 and user namespaces feature
2019-10-21 22:30 [sisyphus] electron v 5.0 and user namespaces feature Michael Bykov
2019-10-21 22:56 ` Vladimir D. Seleznev
@ 2019-10-23 22:06 ` Ivan Zakharyaschev
1 sibling, 0 replies; 4+ messages in thread
From: Ivan Zakharyaschev @ 2019-10-23 22:06 UTC (permalink / raw)
To: ALT Linux Sisyphus discussions
[-- Attachment #1: Type: text/plain, Size: 1691 bytes --]
On Tue, 22 Oct 2019, Michael Bykov wrote:
> Салют,
Hello!
> Тут у всех Линуксов все должно работать, но у нас (и в Arch) - опять ошибка
> $ npm start
>
> The setuid sandbox is not running as root. Common causes:
> * An unprivileged process using ptrace on it, like a debugger.
> * A parent process set prctl(PR_SET_NO_NEW_PRIVS, ...)
> Failed to move to new namespace: PID namespaces supported, Network
> namespace supported, but failed: errno = Operation not permitted
>
> Отлично, говорят лечится
>
> https://github.com/electron/electron/issues/17972:
>
> $ sudo sysctl kernel.unprivileged_userns_clone=1
>
> или https://github.com/jessfraz/dockerfiles/issues/65#issuecomment-266532289:
>
> $ echo 'kernel.unprivileged_userns_clone=1' > /etc/sysctl.d/00-local-userns.conf
> $ service procps restart
>
> Но у нас такие штуки не проходят, естественно.
> sysctl: cannot stat /proc/sys/kernel/unprivileged_userns_clone: No
> such file or directory
>
> И как быть?
>
> Вот что они пишут:
> ------------
> Here's an article I found describing the background of why it's not
> enabled by default: Controlling access to user namespaces and here's
> how to enable it (from Enable user namespaces in Debian kernel):
> https://lwn.net/Articles/673597/
> http://superuser.com/questions/1094597/enable-user-namespaces-in-debian-kernel
> -------------
https://unix.stackexchange.com/a/303214/4319
Володя Селёзнев дал этот конкретный ответ уже:
sysctl -w kernel.userns_restrict=0
> У меня p8 + Сизиф:
>
> $ uname -a
> (git)-[master]
> Linux asus 4.9.133-std-def-alt0.M80P.1 #1 SMP Mon Oct 15 16:46:38 UTC
> 2018 x86_64 GNU/Linux
--
Best regards,
Ivan
^ permalink raw reply [flat|nested] 4+ messages in thread
end of thread, other threads:[~2019-10-23 22:06 UTC | newest]
Thread overview: 4+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2019-10-21 22:30 [sisyphus] electron v 5.0 and user namespaces feature Michael Bykov
2019-10-21 22:56 ` Vladimir D. Seleznev
2019-10-22 9:23 ` Michael Bykov
2019-10-23 22:06 ` Ivan Zakharyaschev
ALT Linux Sisyphus discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/sisyphus/0 sisyphus/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 sisyphus sisyphus/ http://lore.altlinux.org/sisyphus \
sisyphus@altlinux.ru sisyphus@altlinux.org sisyphus@lists.altlinux.org sisyphus@lists.altlinux.ru sisyphus@lists.altlinux.com sisyphus@linuxteam.iplabs.ru sisyphus@list.linux-os.ru
public-inbox-index sisyphus
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.sisyphus
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git