Компанията Microsoft публикува обновление на Linux-дистрибутива CBL-Mariner

Компания Microsoft публикува ново обновление на дистрибуцията CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), която се развива като универсална базова платформа за Linux среди, използвани в облачна инфраструктура, edge системи и различни услуги на Microsoft. Проектът е насочен към унифициране на прилаганите в Microsoft Linux решения и опростяване на поддръжката на Linux системи с различно предназначение, запазвайки ги актуални. Разработките на проекта се разпространяват под лиценз MIT.

В новото издание:

• Започна формирание на базов iso образ (700 МБ). В първото издание готови ISO образи не бяха предоставени, предвиждаше се потребителят сам да създаде образ с необходимото съдържание (инструкции за сборка са подготвени за Ubuntu 18.04).
• Реализирана е поддръжка за автоматично обновление на пакети, за което в състава е включено приложението Dnf-Automatic.
• Ядрото на Linux е обновено до версия 5.10.60.1. Обновени са версиите на програмите, включително openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
• В OpenSSL е предоставена възможност за възстановяване на поддръжката на TLS 1 и TLS 1.1.
• За проверка на изходните текстове на инструментария е използвана утилитата sha256sum.
• Включени са нови пакети: etcd-tools, cockpit, aide, fipscheck, tini.
• Пакетите brp-strip-debug-symbols, brp-strip-unneeded и ca-legacy са премахнати. Премахнати са спецификационните файлове за пакетите Dotnet и aspnetcore, които сега се компилират от основния екип на разработчиците на .NET и се разполагат в отделно хранилище.
• В използваните версии на пакетите са пренесени корекции на уязвимости.

Напомняме, че дистрибуцията CBL-Mariner предоставя малък стандартен набор от основни пакети, които служат като универсална основа за изграждане на съдържание на контейнери, хост среди и услуги, стартирани в облачни инфраструктури и на edge устройства. По-сложни и специализирани решения могат да бъдат изградени чрез добавяне на допълнителни пакети над CBL-Mariner, но основата за всички подобни системи остава непроменена, което улеснява поддръжката и подготовката на обновления. Например, CBL-Mariner се използва като основа на мини дистрибуцията WSLg, в която се предоставят компоненти на графичния стек за организиране на стартиране на GUI приложения на Linux в среди на базата на подсистемата WSL2 (Windows Subsystem for Linux). Разширената функционалност в WSLg се реализира чрез включването на допълнителни пакети с композитивни. сървъра. Weston, XWayland, PulseAudio и FreeRDP.

Системата за изграждане CBL-Mariner позволява да се генерират както отделни RPM пакети на базата на SPEC файлове и изходен код, така и монолитни системни образи, формирани с помощта на инструмента rpm-ostree и обновявани атомарно без разделяне на отделни пакети. Съответно, се поддържат два модела за доставяне на обновления: чрез обновление на отделни пакети и чрез реконструкция и обновление на целия системен образ. На разположение е репозитория, включващ около 3000 вече събрани RPM пакети, който може да се използва за композиране на собствени образи на базата на конфигурационен файл.

Дистрибуцията включва само най-необходимите компоненти и е оптимизирана за минимално потребление на памет и дисково пространство, както и за висока скорост на зареждане. Дистрибуцията също така се отличава с включването на различни допълнителни механизми за повишаване на защитата. В проекта се прилага подходът "максимална сигурност по подразбиране". Осигурява се възможност за филтриране на системни извиквания с помощта на механизма seccomp, шифроване на дискови дялове, верификация на пакети по цифров подпис.

Активирани са поддържаните в ядрото на Linux режими на рандомизация на адресното пространство, както и механизми за защита от атаки, свързани със символични връзки, mmap, /dev/mem и /dev/kmem. За областите памет, в които се разпределят сегменти с данни от ядрото и модули, е установен режим само за четене и изпълнението на код е забранено. По избор е достъпна възможността за забрана на зареждането на модули на ядрото след инициализация на системата. За филтриране на мрежови пакети е използван инструментариум iptables. На етапа на сглобяване по подразбиране са включени режими за защита от преливане на стек, преливания на буфера и проблеми с формата на низовете (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

За управление на услугите и зареждането се използва системният мениджър systemd. За управление на пакети се доставят пакетни мениджъри RPM и DNF (вариант tdnf от vmWare). SSH сървърът по подразбиране не е включен. За инсталиране на дистрибуцията е предоставен инсталатор, който може да работи както в текстов, така и в графичен режим. В инсталатора е осигурена възможност за инсталиране с пълен или базов набор от пакети, предлага се интерфейс за избор на дисков дял, избор на име на хост и създаване на потребители.

Източник: opennet.ru