Microsoft публикува актуализация на дистрибуцията CBL-Mariner Linux

Microsoft публикува актуализация на комплекта за разпространение CBL-Mariner 2.0.20221029 (Common Base Linux Mariner), който се разработва като универсална базова платформа за Linux среди, използвани в облачна инфраструктура, крайни системи и различни услуги на Microsoft. Проектът е насочен към унифициране на решенията на Microsoft Linux и опростяване на поддръжката на Linux системи за различни цели до момента. Разработките на проекта се разпространяват под лиценза на MIT. Пакетите се генерират за aarch64 и x86_64 архитектури. Подготвено стартиращо ISO изображение (1.1 GB) за x86_64 архитектура.

В новата версия:

• Актуализирани версии на пакети, включително предложени версии на ядрото на Linux 5.15.74, PHP 8.1.11, nodejs 16.17.1, cassandra 4.0.7, dbus 1.15.2, expat 2.5.0, mysql 8.0.31, terraform 1.32.2, tidy 5.8.0, wireshark 3.4.16, nginx 1.22.1.
• Добавени са нови пакети cairomm 1.12.0, cpptest 1.1.2, k-exec-tools, kernel-drivers-gpu, libcroco 0.6.13, python-google-auth-oauthlib, sgx-backwards-compatability.
• Включени модули за промяна на алгоритъма за контрол на TCP задръстванията (TCP Congestion).
• Корекциите на уязвимости са преместени в пакетите libtar, unbound, aspell, libtiff, redis, livepatch, libtasn1, PHP, nodejs, dbus, expat, mod_wsgi, wireshark, nginx, mysql, terraform.

Дистрибуцията на CBL-Mariner предоставя малък стандартен набор от основни пакети, които служат като универсална основа за създаване на съдържанието на контейнери, хост среди и услуги, работещи в облачни инфраструктури и на крайни устройства. По-сложни и специализирани решения могат да бъдат създадени чрез добавяне на допълнителни пакети върху CBL-Mariner, но основата за всички такива системи остава същата, което прави поддръжката и актуализациите по-лесни. Например, CBL-Mariner се използва като основа за минидистрибуцията WSLg, която предоставя компоненти на графичен стек за стартиране на Linux GUI приложения в среди, базирани на подсистемата WSL2 (Windows Subsystem for Linux). Разширената функционалност в WSLg се реализира чрез включването на допълнителни пакети с Weston Composite Server, XWayland, PulseAudio и FreeRDP.

Системата за изграждане на CBL-Mariner ви позволява да генерирате както отделни RPM пакети, базирани на SPEC файлове и изходен код, така и монолитни системни изображения, генерирани с помощта на инструментариума rpm-ostree и актуализирани атомарно, без да се разделят на отделни пакети. Съответно се поддържат два модела за доставка на актуализация: чрез актуализиране на отделни пакети и чрез повторно изграждане и актуализиране на целия системен образ. Налично е хранилище от приблизително 3000 предварително изградени RPM пакета, които можете да използвате, за да създадете свои собствени изображения въз основа на конфигурационен файл.

Дистрибуцията включва само най-необходимите компоненти и е оптимизирана за минимална консумация на памет и дисково пространство, както и висока скорост на зареждане. Дистрибуцията се отличава и с включването на различни допълнителни механизми за подобряване на сигурността. Проектът използва подход „максимална сигурност по подразбиране“. Възможно е да се филтрират системни повиквания с помощта на механизма seccomp, да се криптират дискови дялове и да се проверяват пакети с помощта на цифров подпис.

Активирани са режимите на рандомизиране на адресното пространство, поддържани в ядрото на Linux, както и механизми за защита срещу атаки на символни връзки, mmap, /dev/mem и /dev/kmem. Областите на паметта, които съдържат сегменти с данни на ядрото и модула, са настроени на режим само за четене и изпълнението на код е забранено. Опция по избор е да деактивирате зареждането на модули на ядрото след инициализация на системата. Инструментариумът iptables се използва за филтриране на мрежови пакети. На етапа на изграждане защитата срещу препълване на стека, препълване на буфера и проблеми с форматирането на низ е активирана по подразбиране (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

Системният мениджър systemd се използва за управление на услуги и зареждане. Мениджърите на пакети RPM и DNF са предоставени за управление на пакети. SSH сървърът не е активиран по подразбиране. За да инсталирате дистрибуцията, е осигурен инсталатор, който може да работи както в текстов, така и в графичен режим. Инсталаторът предоставя опция за инсталиране с пълен или основен набор от пакети и предлага интерфейс за избор на дисков дял, избор на име на хост и създаване на потребители.

Източник: opennet.ru