Firejail 0.9.60 Изолирано издание на приложението

видях светлината издание на проекта Firejail 0.9.60, в рамките на който се разработва система за изолирано изпълнение на графични, конзолни и сървърни приложения. Използването на Firejail ви позволява да минимизирате риска от компрометиране на основната система при стартиране на ненадеждни или потенциално уязвими програми. Програмата е написана на език C, разпространява се от лицензиран под GPLv2 и може да работи на всяка Linux дистрибуция с ядро, по-старо от 3.0. Готови пакети с Firejail подготвени във формати deb (Debian, Ubuntu) и rpm (CentOS, Fedora).

За изолация в Firejail са използвани пространства от имена, AppArmor и филтриране на системни повиквания (seccomp-bpf) в Linux. Веднъж стартирана, програмата и всички нейни дъщерни процеси използват отделни изгледи на ресурсите на ядрото, като мрежов стек, таблица на процеси и точки на монтиране. Приложенията, които са зависими едно от друго, могат да бъдат комбинирани в един общ пясъчник. Ако желаете, Firejail може да се използва и за стартиране на Docker, LXC и OpenVZ контейнери.

За разлика от инструментите за изолация на контейнери, противопожарната защита е изключително голяма лесно в конфигурацията и не изисква подготовка на системно изображение - съставът на контейнера се формира в движение въз основа на съдържанието на текущата файлова система и се изтрива след завършване на приложението. Осигурени са гъвкави средства за задаване на правила за достъп до файловата система; можете да определите кои файлове и директории са разрешени или отказани за достъп, да свържете временни файлови системи (tmpfs) за данни, да ограничите достъпа до файлове или директории само за четене, да комбинирате директории чрез bind-mount и overlayfs.

За голям брой популярни приложения, включително Firefox, Chromium, VLC и Transmission, готови профили изолиране на системни повиквания. За да стартирате програма в режим на изолация, просто посочете името на приложението като аргумент на помощната програма firejail, например „firejail firefox“ или „sudo firejail /etc/init.d/nginx start“.

В новата версия:

• Коригирана е уязвимост, която позволява на злонамерен процес да заобиколи механизма за ограничаване на системните повиквания. Същността на уязвимостта е, че Seccomp филтрите се копират в директорията /run/firejail/mnt, която може да се записва в изолираната среда. Злонамерените процеси, изпълнявани в режим на изолация, могат да променят тези файлове, което ще доведе до изпълнение на нови процеси, изпълнявани в същата среда, без прилагане на филтъра за системни повиквания;
• Филтърът за забрана на паметта-запис-изпълнение гарантира, че извикването “memfd_create” е блокирано;
• Добавена е нова опция "private-cwd" за промяна на работната директория за затвора;
• Добавена е опция "--nodbus" за блокиране на D-Bus сокети;
• Върната поддръжка за CentOS 6;
• Прекратено поддръжка за пакети във формати flatpak и щракам.
  Посоченоче тези пакети трябва да използват свои собствени инструменти;

• Добавени са нови профили за изолиране на 87 допълнителни програми, включително mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp и cantata.

Източник: opennet.ru