Компания Canonical обяви за въвеждането на изменения в Ubuntu 23.10, които ограничават достъпа на потребителите до пространства на идентификатори на потребителя (user namespace), което ще повиши защитата на системите, използващи контейнерна изолация, от уязвимости, за експлоатацията на които са необходими манипулации с user namespace. Според данни на Google, 44% от експлоитите, участващи в програмата за предоставяне на финансови награди за откритие на уязвимости в ядрото на Linux, изискват възможността за създаване на пространства на идентификатори на потребителя.
Вместо пълна блокировка на достъпа до user namespace в Ubuntu е приложена хибридна схема, която избира да остави на някои програми възможността да създават user namespace при наличие на профил AppArmor с правило "allow userns create" или правото CAP_SYS_ADMIN. Например, за Chrome е създаден профил /etc/apparmor.d/opt.google.chrome.chrome, който може да се използва като пример за откриване на достъп до user namespace за други програми.
В предстоящото издание на Ubuntu 23.10 ограничението на достъпа до user namespace ще бъде предложено като опция, която не е включена по подразбиране. В течение на няколко седмици след пускането на Ubuntu 23.10 разработчиците ще съберат информация за възможното негативно влияние на деактивирането на достъпа до user namespace върху работата на пакетите и ще подготвят съответните профили AppArmor. След това, в едно от коригиращите актуализации на пакета с ядрото (Stable Release Updates) ограничението ще бъде активирано по подразбиране.
За преждевременно активиране на ограничението могат да се използват командите: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
А за деактивиране: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Източник: opennet.ru
