Belajar LXC - Keamanan & CVE

#Pendahuluan

Tiga episode terakhir (13-15) memberi kalian alat-alat keamanan: MAC, seccomp, capabilities, dan idmap. Di episode 16 kita merangkainya menjadi strategi keamanan utuh — termasuk memahami sisi yang paling sering dilupakan: kerentanan perangkat lunak (CVE) dan kewajiban memperbarui. Keamanan bukan fitur yang dipasang sekali; ia adalah rutinitas.

#Kerentanan Nyata: CVE-2026-39402

#Apa yang Terjadi

CVE-2026-39402 adalah kerentanan keamanan yang diperbaiki pada LXC 7.0 LTS. Kerentanan semacam ini biasanya melibatkan cara LXC menangani operasi tertentu yang bisa disalahgunakan untuk melewati isolasi — eskalasi privilege atau escape dari container.

Inti yang harus kalian pahami: LXC adalah perangkat lunak, dan perangkat lunak punya bug. Meski unprivileged container dirancang aman, bug implementasi tetap bisa membuka celah. Pengelola LXC menutupnya lewat rilis patch, dan LTS 7.0 membawa perbaikan tersebut.

#Mengapa Patch Rutin Wajib

Pertahanan berlapis (unprivileged + AppArmor + seccomp + kernel baru) membuat exploit lebih sulit — tetapi tidak mustahil. Setiap CVE yang tidak di-patch adalah pintu yang diketahui penyerang. Rutinitasnya:

sudo apt update && sudo apt upgrade
sudo reboot   # untuk kernel baru

Cek versi setelah update:

lxc --version
lxc-checkconfig

#Isolasi Host-Container

#Batas yang Harus Dijaga

Keamanan LXC bergantung pada pemisahan yang bersih antara host dan container. Hal-hal yang mengikis pemisahan ini:

• Bind-mount device sembarangan (episode 11 dan 14) — memberi container pintu ke hardware host.
• Passthrough GPU/USB tanpa kendali — melemahkan isolasi secara sengaja.
• Privileged container untuk tenant tak tepercaya — menghilangkan lapis idmap.
• Menonaktifkan AppArmor/seccomp — menghilangkan lapis MAC dan syscall filtering.

Setiap pelonggaran harus keputusan sadar dengan alasan tertulis, bukan jalan pintas debugging.

#Aturan Emas

Jangan pernah memberikan root privileged kepada user yang tidak tepercaya.

Ini aturan yang paling sering dilanggar di homelab. Menjalankan container privileged untuk "supaya mudah" di host yang melayani beberapa orang adalah undangan bagi bencana.

#Model Ancaman: Pertahanan Berlapis

#Lapisan yang Harus Aktif Bersamaan

1. Unprivileged + idmap (episode 5, 15) — memutus rantai privilege root di host.
2. AppArmor/SELinux (episode 13) — membatasi akses file dan operasi via MAC.
3. seccomp (episode 13) — membatasi syscall yang bisa dipanggil.
4. Capabilities minimal (episode 14) — membatasi hak root di dalam container.
5. Kernel terbaru — memakai fix keamanan kernel terkini dan fitur isolasi baru.

#Mengapa Kernel Terbaru Kritis

LXC bergantung pada fitur kernel — dan keamanannya juga. Kernel lama punya CVE yang tidak pernah di-patch untuknya. Saat memilih host LXC, utamakan distribusi dengan kernel dan pembaruan keamanan yang aktif.

#Membuat Security Checklist

#Sebelum Produksi

Checklist keamanan container

[ ] Kernel terbaru (LTS host) dan lxc-checkconfig lolos
[ ] Container unprivileged dengan idmap 0-65536
[ ] AppArmor profil aktif (bukan unconfined)
[ ] seccomp profil default atau kustom yang diuji
[ ] lxc.cap.drop menghapus capability yang tidak dipakai
[ ] lxc.cgroup2.devices.deny = a (allow hanya yang perlu)
[ ] Jaringan: veth ke bridge; tidak ada device yang dibagikan sembarangan
[ ] Versi LXC dalam masa dukungan; update rutin terjadwal
[ ] Snapshot sebelum perubahan berisiko (episode 9)

#Saat Ada CVE Baru

1. Pantau sumber resmi (linuxcontainers.org, GitHub lxc/lxc releases).
2. Baca advisori: versi mana yang terpengaruh, versi mana yang fix.
3. Rencanakan jendela update: patch LXC → patch kernel → reboot host.
4. Verifikasi setelahnya: lxc --version, uname -r, jalankan smoke test container.

#Penutup

Inti yang harus dibawa pulang:

• LXC 7.0 memperbaiki CVE-2026-39402; LTS 7.0 di-patch hingga Juni 2031.
• Patch rutin LXC + kernel adalah kewajiban, bukan pilihan.
• Jaga isolasi host-container: jangan longgarkan tanpa keputusan sadar.
• Jangan pernah beri root privileged ke user tak tepercaya.
• Model ancaman terbaik: unprivileged + AppArmor + seccomp + capabilities minimal + kernel terbaru.

Di episode 17 selanjutnya kita akan membahas LXC 7.0 LTS & fitur terbaru — jadwal dukungan hingga Juni 2031, kematangan cgroup2 dan kernel modern, perbaikan keamanan, posisi 6.0 yang beralih maintenance lambat, serta riwayat rilis 6.0, 5.0, dan 4.0.