hotdog下載 - hotdog原始碼下載

hotdog

其他源碼

下載

熱狗

Hotdog 是一組 OCI 掛鉤，用於將 Log4j 熱補丁注入容器中。

️熱狗的生命週期已接近尾聲。自 CVE-2021-44228 被發現以來已經過了 20 個月，我們預計此時絕大多數 Java 應用程式都已修補。我們也不知道 Hotdog 在 Bottlerocket 之外有任何使用，Bottlerocket 已不再使用它。因此，我們計劃在 2023 年 11 月之前終止 Hotdog 的生命週期。

它是如何運作的

當 runc 設定容器時，它會呼叫hotdog-cc-hook 。 hotdog-cc-hook將熱補丁檔案綁定安裝到容器的檔案系統/dev/shm/.hotdog中。主容器程序啟動後， runc 呼叫hotdog-poststart-hook ，它使用nsenter進入容器的命名空間並分叉出hotdog-hotpatch進程。 hotdog-hotpatch以逐漸降低的頻率（目前為 1 秒、5 秒、10 秒、30 秒）運行多次，以檢測和修補容器內的 JVM。

限制

Hotdog 僅提供對 Java 8、11、15 和 17 的熱補丁支援。
Hotdog 僅在容器生命週期開始時運行一小段時間。如果hotdog-hotpatch進程退出後啟動新的Java進程，則不會對其進行熱補丁。
Hotdog 僅修補名為「java」的進程。如果您的 Java 應用程式具有不同的進程名稱，hotdog 將不會對其進行修補。
當容器有自己的 pid 命名空間時，Hotdog 效果最佳。如果 hotdog 與具有共享 pid 命名空間的容器一起使用， hotdog-hotpatch可能會在容器退出後保留一小段時間。
Hotdog 將其元件注入容器內的/dev/shm/.hotdog中。如果/dev/shm不存在（例如使用--ipc=none啟動 Docker 容器的情況），hotdog 將不會注入到容器中，也不會提供熱補丁。

安裝

瓶火箭

Hotdog 預設包含在 Bottlerocket 1.5.0 中。

透過在使用者資料中包含以下設置，可以為新啟動的 Bottlerocket 啟用熱補丁。

[ settings . oci-hooks ]
log4j-hotpatch-enabled = true

對於執行最新版本 Bottlerocket 的現有主機，可以使用 API 用戶端啟用熱補丁。

apiclient set oci-hooks.log4j-hotpatch-enabled=true

在運行時啟用該設定對運行容器沒有影響。新推出的容器將進行熱補丁。

其他 Linux 發行版

要安裝Hotdog，您需要將以下檔案複製到正確的位置並設定適當的配置。

將Log4jHotPatch.jar複製到/usr/share/hotdog （如果您從原始程式碼建立熱補丁，您將在build/libs中找到它）
執行make && sudo make install將hotdog-cc-hook和hotdog-poststart-hook安裝到/usr/libexec/hotdog並將hotdog-hotpatch安裝到/usr/share/hotdog
安裝oci-add-hooks

透過將以下內容寫入/etc/hotdog/config.json來使用 hotdog 掛鉤配置oci-add-hooks ：

{
  "hooks" : {
    "prestart" : [{
      "path" : " /usr/libexec/hotdog/hotdog-cc-hook "
    }],
    "poststart" : [{
      "path" : " /usr/libexec/hotdog/hotdog-poststart-hook "
    }]
  }
}

透過將以下內容寫入/etc/docker/daemon.json來配置 Docker 使用掛鉤：

{
  "runtimes" : {
    "hotdog" : {
      "path" : " oci-add-hooks " ,
      "runtimeArgs" : [
        " --hook-config-path " , " /etc/hotdog/config.json " ,
        " --runtime-path " , " /usr/sbin/runc "
      ]
    }
  }
}