1. Isolatie: In vergelijking met andere virtualisatietechnieken biedt LXC relatief gezien een lagere mate van isolatie. Alle containers delen dezelfde kernel, wat betekent dat elk probleem op kernelniveau invloed kan hebben op alle containers. Bovendien is de impact van een container die is gecompromitteerd door een aanvaller groter op een LXC-platform.
1. Root privileges: Een container die met rootprivileges wordt uitgevoerd, kan een beveiligingsrisico vormen als deze wordt gecompromitteerd. Het kan de host en andere containers beïnvloeden.
1. Network Security: Containers hebben een eigen netwerkstack, maar delen de fysieke en datalinklaag met de host, wat de attack surface vergroot.
1. Beveiligingsupdates: Omdat alle containers dezelfde hostkernel gebruiken, moet ervoor worden gezorgd dat de kernel en andere gedeelde bibliotheken up-to-date blijven om beveiligingsproblemen te voorkomen.
1. Privilege escalation: Als LXC verkeerd geconfigureerd is, kan een aanvaller privilege escalation aanvallen uitvoeren en controle over de host krijgen.
1. Onveilige configuraties: Standaardconfiguraties zijn mogelijk niet voldoende beveiligd voor bepaalde apps of omgevingen. Het is dus belangrijk om de configuraties nauwkeurig te inspecteren en aan te passen aan de beveiligingsvereisten.
1. Bronnenbeperkingen: LXC heeft geen ingebouwde ondersteuning voor het beperken van bronnen (zoals CPU, geheugen, I/O) voor containers. Als dit niet correct handmatig wordt beheerd, kan één container onevenredig veel bronnen gebruiken en daardoor andere containers en de host nadelig beïnvloeden.
1. VM-escape aanvallen: Een gecompromitteerde container kan proberen te “ontsnappen” naar de host of andere containers. Hoewel dit moeilijk is, is het wel mogelijk als de container op een hoger (bijvoorbeeld root) privilege draait.
1. Systeemoproep filteren: Systeemoproepfiltering is zeer beperkt of niet mogelijk in LXC, wat een potentiële aanvalsvector kan vormen.
Om deze problemen te vermijden, moeten best practices voor veiligheid en harde beveiliging worden gevolgd, zoals het gebruik van SELinux of AppArmor, het regelmatig bijwerken van software en kernels, het beperken van root-toegang, het zorgvuldig instellen van het netwerk, en het beperken van bronnen.
