Издание на системата за самостоятелни пакети Flatpak 1.12.0

Публикувана нова стабилна версия на инструмента Flatpak 1.12, който предоставя система за изграждане на самостоятелни пакети, независими от специфични дистрибуции на Linux и работещи в специален контейнер, изолиращ приложението от останалата част на системата. Поддръжката на изпълнение на Flatpak пакети е осигурена за Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint, Alt Linux и Ubuntu. Пакетите с Flatpak са включени в репозитория на Fedora и се поддържат в стандартната програма за управление на приложения GNOME.

Ключови нововъведения в версията Flatpak 1.12:

• Подобре е управлението на вложените sandbox среда, използвани в Flatpak пакета с клиент за услугата за игри Steam. Във вложените sandbox е позволено създаването на отделни йерархии на директориите /usr и /app, което се използва в Steam за стартиране на игри в отделен контейнер с отделен /usr, изолиран от средата с клиента Steam.
• Във всички инстанции на пакети с еднакъв идентификатор на приложението (app-ID) е осигурено споделянето на директориите /tmp и $XDG_RUNTIME_DIR. По избор, чрез флага "—allow=per-app-dev-shm" може да се активира използването на обща директория /dev/shm.
• Подобрена е поддръжката на приложения с текстов потребителски интерфейс (TUI), като gdb.
• В утилитата build-update-repo е добавена по-бърза реализация на командата "ostree prune", оптимизирана за работа с репозитории, функциониращи в архивен режим.
• Устранена е уязвимостта CVE-2021-41133 в реализацията на механизма за портали, свързана с липсата на блокировка на нови системни извиквания, свързани с монтиране на дялове, в правилата seccomp. Уязвимостта позволява на приложението да създаде вложен sandbox за заобикаляне на механизмите за верификация на "порталите", които се прилагат за организиране на достъп до ресурси извън контейнера.

  В резултат на това, атакуващият чрез изпълнение на свързани с монтиране системни извиквания може да заобиколи механизма за sandbox изолация и да получи пълен достъп до съдържанието на хост средата. Експлоатацията на уязвимостта е възможна само в пакети, предоставящи на приложенията директен достъп до сокетите AF_UNIX, които например се използват в Wayland, Pipewire и pipewire-pulse. В версия 1.12.0 уязвимостта не беше изцяло устранена, затова веднага след това беше издадено обновление 1.12.1.

Напомняме, че разработчиците на приложения получават възможността да улеснят разпространението на своите програми, които не влизат в стандартните хранилища на дистрибуциите, чрез подготовка на един универсален контейнер, без да се формират отделни сборки за всяка дистрибуция. На потребителите, които се грижат за сигурността, Flatpak позволява да стартират съмнителни приложения в контейнер, предоставяйки достъп само до мрежови функции и файлове на потребителя, свързани с приложението. На потребителите, които се интересуват от новини, Flatpak позволява да инсталират най-новите тестови и стабилни издания на приложенията, без да е необходимо да правят промени в системата. Например, Flatpak пакети се изграждат за LibreOffice, Midori, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio и др.

За намаляване на размера на пакета той включва само специфични зависимости за приложението, а основните системни и графични библиотеки (GTK, Qt, библиотеки GNOME и KDE и т.н.) са оформени като присъединяеми типови runtime среди. Ключовата разлика между Flatpak и Snap е, че Snap използва компоненти от основната системна среда и изолация, основана на филтриране на системните извиквания, докато Flatpak създава отделен контейнер от системата и оперира с големи набори runtime, предоставяйки като зависимости не пакети, а типови системни среди (например, всички библиотеки, необходими за работата на програми GNOME или KDE).

Освен стандартната системна среда (runtime), инсталирана чрез специално хранилище, се предоставят допълнителни зависимости (bundle), изисквани за работата на приложението. В сумата, runtime и bundle образуват съдържанието на контейнера, като runtime се инсталира отделно и се свързва едновременно с няколко контейнера, което позволява да се избегне дублирането на общите системни файлове за контейнерите. В една система могат да бъдат инсталирани няколко различни runtime (GNOME, KDE) или няколко версии на един и същ runtime (GNOME 3.40, GNOME 3.42). Контейнерът с приложението използва свързването само с определен runtime, без да взема предвид отделните пакети, от които се състои runtime. Всички липсващи елементи се опаковат директно с приложението. При формирането на контейнера, съдържанието на runtime се монтира като раздел /usr, а bundle се монтира в директория /app.

Съдържанието на runtime и контейнерите на приложенията се формира с помощта на технологията OSTree, при която образът атомарно се обновява от git-подобно хранилище, позволяващо прилагане на методи за версия контрол към компонентите на дистрибуцията (например, системата може бързо да се върне в предишно състояние). RPM пакетите се транслират в хранилището OSTree чрез специален слой rpm-ostree. Отделна инсталация и обновление на пакети в работната среда не се поддържат, системата се обновява не на ниво отделни компоненти, а цялостно, атомарно променяйки своето състояние. Предоставят се средства за инкрементално прилагане на обновления, избавяйки от необходимостта от пълна замяна на образа при всяко обновление.

Формираното изолирано пространство е напълно независимо от използвания дистрибутор и при правилни настройки на пакета няма достъп до файловете и процесите на потребителя или основната система, не може директно да адресира оборудването, с изключение на извода чрез DRI и обращенията към мрежовата подсистема. Изходът на графиката и организирането на въведенията се реализират чрез протокола Wayland или чрез пробив на сокет X11. Взаимодействието с външната среда е базирано на система за обмен на съобщения DBus и специално API Portals.

За изолация се използва прослойка Bubblewrap и традиционните за Linux технологии за контейнерна виртуализация, основани на cgroups, пространства за имена (namespaces), Seccomp и SELinux. За изхода на звука се прилага PulseAudio. Въпреки това, изолацията може да бъде деактивирана, което използват разработчиците на много популярни пакети, за да получат пълен достъп до файловата система и всички устройства в системата. Например, пакети като GIMP, VSCodium, PyCharm, Octave, Inkscape, Audacity и VLC се предлагат с ограничен режим на изолация, оставящ пълен достъп до домашната директория.

В случай на компрометиране на пакети с достъп до домашната директория, въпреки наличието на етикета „sandboxed“ в описанието на пакета, на атакуващия му е достатъчно да промени файла ~/ .bashrc, за да изпълни кода си. Отделен въпрос е контролът върху промените в пакетите и доверието към сборниците на пакети, които често не са свързани с основния проект или дистрибуции.

Източник: opennet.ru