Издание на системата за изолация на приложения Firejail 0.9.60

Видях свет релиз на проекта Firejail 0.9.60, в рамките на която се развива система за изолирано изпълнение на графични, конзолни и сървърни приложения. Приложението Firejail позволява минимизиране на риска от компрометиране на основната система при стартиране на ненадеждни или потенциално уязвими програми. Програмата е написана на езика Си, се разпространява под лиценз GPLv2 и може да работи в любой дистрибутив на Linux с ядро по-старо от 3.0. Готовите пакети с Firejail подготвени в формати deb (Debian, Ubuntu) и rpm (CentOS, Fedora).

За изолация в Firejail се използват продължения на имената (namespaces), AppArmor и филтриране на системни повиквания (seccomp-bpf) в Linux. След стартиране, програмата и всички нейни дочерни процеси използват отделни представления на ресурсите на ядрото, като например мрежов стек, таблица на процесите и точки на монтиране. Взаимосвързаните приложения могат да бъдат обединени в едно общо пясъчник. При желание, Firejail може да се приложи и за стартиране на контейнери Docker, LXC и OpenVZ.

В противоречие на инструментите за контейнерна изолация, firejail е изключително прост в конфигурацията и не изисква подготовка на системен образ — съставът на контейнера се формира на лету на основата на съдържанието на текущата ФС и се премахва след завършване на работата на приложението. Предоставят се гъвкави средства за задаване на правила за достъп до файловата система, може да се определи до кои файлове и директории е разрешен или забранен достъп, да се свържете за данни времеви ФС (tmpfs), да се ограничи достъпът до файлове или директории само за четене, да се комбинират директории чрез bind-mount и overlayfs.

За голям брой популярни приложения, включително Firefox, Chromium, VLC и Transmission, са подготвени профили за изолация на системни повиквания. За изпълнение на програма в режим на изолация е достатъчно да се укаже името на приложението като аргумент на утилитата firejail, например „firejail firefox“ или „sudo firejail /etc/init.d/nginx start“.

В новото издание:

• Уязвимостта, която позволява на злонамерен процес да заобиколи механизма за ограничаване на системните повиквания, е отстранена. Същността на уязвимостта е, че филтрите Seccomp се копират в каталога /run/firejail/mnt, достъпен за запис в изолираната среда. Стартираните в режим на изолация злонамерени процеси могат да променят тези файлове, което ще доведе до факта, че новите процеси, стартирани в същата среда, ще бъдат изпълнени без прилагане на филтъра на системните повиквания;
• В филтъра memory-deny-write-execute е осигурена блокировка на извикването на «memfd_create»;
• Добавена е нова опция «private-cwd» за промяна на работната директория за jail;
• Добавена е опция «—nodbus» за блокиране на сокетите D-Bus;
• Възстановена е поддръжката на CentOS 6;
• Прекратено поддръжка на пакети в формати flatpak и snap.
  Указано, че за тези пакети следва да се използва техният собствен инструментарий;
• Добавени са нови профили за изолация на 87 допълнителни програми, сред които mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp и cantata.

Източник: opennet.ru