chore(master): run the master as a non-root user #25

New Issue

2026-10-13T07:17:06Z

shcizo commented

2026-10-13 07:17:06 +00:00

Beskrivning

Mastern använder samma image som agenten och kör därför som root, trots att den varken har Docker-socketen eller några skrivbara monteringar. Ett säkerhetshål i UI:t, webhooken eller OIDC-flödet ger i dag root i containern. Problemet gäller bara mastern; agenten behöver root för att komma åt Docker-socketen.

Tekniska noteringar

USER i Dockerfile går inte att använda, eftersom samma image också kör agenten, och agenten behöver socketen. I stället sätts user: i deploy/master.stack.yml (och i exempel-compose i README om sådant finns).
/run/secrets/* har läsrättighet för alla som standard. Portarna 8080 och 8090 är över 1024. Ingen skrivbar katalog behövs.
Hake: DOCKER_CONFIG/config.json från docker login har normalt rättigheterna 0600 och ägs av användaren på värden. Antingen sätts user: till den användarens uid:gid, eller så dokumenteras att filen måste vara läsbar för den valda uid:n. main loggar redan registry_credentials med information om filen finns. Det borde också loggas om den går att läsa, så att felet inte bara syns som "lookup failed" i UI:t.
Verifiera att inget i mastern skriver till disk, som temporära filer eller HOME. ggcr läser ~/.docker om DOCKER_CONFIG saknas, och HOME kan då vara /.

Scope

Ingår: stackfilen, README och loggraden. Ingår inte: separata images för master och agent.

## Beskrivning Mastern använder samma image som agenten och kör därför som root, trots att den varken har Docker-socketen eller några skrivbara monteringar. Ett säkerhetshål i UI:t, webhooken eller OIDC-flödet ger i dag root i containern. Problemet gäller bara mastern; agenten behöver root för att komma åt Docker-socketen. ## Tekniska noteringar - `USER` i Dockerfile går inte att använda, eftersom samma image också kör agenten, och agenten behöver socketen. I stället sätts `user:` i `deploy/master.stack.yml` (och i exempel-compose i README om sådant finns). - `/run/secrets/*` har läsrättighet för alla som standard. Portarna 8080 och 8090 är över 1024. Ingen skrivbar katalog behövs. - **Hake:** `DOCKER_CONFIG/config.json` från `docker login` har normalt rättigheterna `0600` och ägs av användaren på värden. Antingen sätts `user:` till den användarens uid:gid, eller så dokumenteras att filen måste vara läsbar för den valda uid:n. `main` loggar redan `registry_credentials` med information om filen finns. Det borde också loggas om den går att läsa, så att felet inte bara syns som "lookup failed" i UI:t. - Verifiera att inget i mastern skriver till disk, som temporära filer eller `HOME`. ggcr läser `~/.docker` om `DOCKER_CONFIG` saknas, och `HOME` kan då vara `/`. ## Scope Ingår: stackfilen, README och loggraden. Ingår inte: separata images för master och agent.

shcizo referenced this issue from a commit

2026-10-13 07:33:07 +00:00

chore(master): run the master as nobody in the example stack (#25)

shcizo referenced this issue from a commit

2026-10-13 07:33:07 +00:00

docs: keep the master's registry credentials private when running as nobody (#25)

shcizo referenced a pull request that will close this issue

2026-10-13 07:33:38 +00:00

chore(master): run the master as a non-root user (#25) #27

shcizo closed this issue

2026-10-13 07:33:48 +00:00

shcizo referenced this issue from a commit