uvolnění projektu , v rámci kterého se vyvíjí systém pro izolované provádění grafických, konzolových a serverových aplikací. Použití Firejail minimalizuje riziko kompromitace hlavního systému při spouštění nedůvěryhodných či potenciálně zranitelných programů. Program je napsán v jazyce C, pod licencí GPLv2 a může fungovat v jakékoliv distribuci Linuxu s jádrem starším než 3.0. Hotové balíčky s Firejail v formátu deb (Debian, Ubuntu) a rpm (CentOS, Fedora).
Pro izolaci ve Firejail namespaces, AppArmor a filtrování systémových volání (seccomp-bpf) v Linuxu. Po spuštění program a všechny její podprozcesy používají oddělené pohledy na zdroje jádra, jako jsou síťový zásobník, tabulka procesů a body připojení. Navzájem závislé aplikace lze sloučit do jednoho společného sandboxu. Pokud si přejete, Firejail lze použít i pro spuštění kontejnerů Docker, LXC a OpenVZ.
Na rozdíl od prostředků kontejnerové izolace je firejail maximálně v konfiguraci a nevyžaduje přípravu systémového obrazu – skládání kontejneru se vytváří za běhu na základě obsahu aktuálního FS a odstraňuje se po ukončení aplikace. Poskytují se flexibilní prostředky pro stanovení pravidel přístupu k souborovému systému, lze určit, ke kterým souborům a adresářům je povolen či zakázán přístup, připojit pro data dočasné FS (tmpfs), omezit přístup k souborům nebo adresářům pouze pro čtení, kombinovat adresáře pomocí bind-mount a overlayfs.
Pro velké množství populárních aplikací, včetně Firefoxu, Chromia, VLC a Transmission, jsou připraveny hotové izolace systémových volání. Pro spuštění programu v režimu izolace stačí uvést název aplikace jako argument utility firejail, například „firejail firefox“ nebo „sudo firejail /etc/init.d/nginx start.“
V novém vydání:
- Byla odstraněna zranitelnost, která umožňovala škodlivému procesu obejít mechanismus omezení systémových volání. Podstata zranitelnosti spočívá v tom, že filtry Seccomp se kopírují do adresáře /run/firejail/mnt, který je zapisovatelný uvnitř izolovaného prostředí. Spouštěné v režimu izolace škodlivé procesy mohou tyto soubory změnit, což povede k tomu, že nové procesy spuštěné v tomto stejném prostředí budou provedeny bez použití filtru systémových volání;
- Ve filtru memory-deny-write-execute byla zajištěna blokace volání „memfd_create“;
- Byla přidána nová volba „private-cwd“ pro změnu pracovního adresáře pro jail;
- Byla přidána volba „—nodbus“ pro blokaci socketů D-Bus;
- Byla vrácena podpora CentOS 6;
- podpora balíčků ve formátech a .
, že pro tyto balíčky by měl být použit jejich vlastní nástroj; - Byly přidány nové profily pro izolaci 87 dalších programů, mezi nimi mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp a cantata.
Zdroj: opennet.ru
