Компания Canonical обяви за промени в Ubuntu 23.10, които ограничават достъпа на потребителите до пространства на имената на идентификаторите на потребителя (user namespace), което ще увеличи сигурността на системите, използващи контейнерна изолация, от уязвимости, за които е необходима манипулация с user namespace. Според данни на Google, 44% от експлойтите, участващи в програмата за изплащане на награди за откриване на уязвимости в ядрото на Linux, изискват възможността за създаване на пространства на имената на идентификаторите на потребителите.
Вместо пълна блокировка на достъпа до user namespace, в Ubuntu е приложена хибридна схема, която selectively оставя на някои програми възможността да създават user namespace при наличие на AppArmor профил с правило «allow userns create» или права CAP_SYS_ADMIN. Например, за Chrome е създаден профил /etc/apparmor.d/opt.google.chrome.chrome, който може да се използва като пример за отваряне на достъпа до user namespace за други програми.
В предстоящата версия Ubuntu 23.10 ограничението на достъпа до user namespace планира да бъде предложено като опция, която по подразбиране не е включена. През следващите няколко седмици след релиза на Ubuntu 23.10 разработчиците ще съберат информация за възможното негативно влияние на деактивирането на достъпа до user namespace върху работата на пакетите и ще подготвят съответните AppArmor профили. След това в едно от корекционните актуализации на пакета с ядрото (Stable Release Updates) ограничението ще бъде активно по подразбиране.
За предсрочно включване на ограничението могат да се използват командите: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
А за деактивиране: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Източник: opennet.ru
