Společnost Canonical oznámila, že v Ubuntu 23.10 provedla změny, které omezují přístup uživatelů k prostorům názvů identifikátorů uživatelů (user namespace), což zvýší zabezpečení systémů používajících kontejnerovou izolaci před zranitelnostmi, pro jejichž využití jsou nutné manipulace s user namespace. Podle společnosti Google 44 % exploitů zapojených do programu vyplácení finančních odměn za odhalení zranitelností v jádru Linuxu vyžaduje možnost vytvářet prostory názvů identifikátorů uživatelů.
Místo úplné blokace přístupu k user namespace byla v Ubuntu zavedena hybridní schéma, která některým aplikacím selektivně umožňuje vytvářet user namespace za předpokladu, že mají profil AppArmor s pravidlem „allow userns create“ nebo oprávnění CAP_SYS_ADMIN. Například pro Chrome byl vytvořen profil /etc/apparmor.d/opt.google.chrome.chrome, který lze použít jako příklad pro otevření přístupu k user namespace pro jiné aplikace.
V nadcházející verzi Ubuntu 23.10 plánují nabídnout omezení přístupu k user namespace jako možnost, která není ve výchozím nastavení povolena. V průběhu několika týdnů po vydání Ubuntu 23.10 shromáždí vývojáři informace o možném negativním dopadu vypnutí přístupu k user namespace na fungování balíčků a připraví odpovídající profily AppArmor. Poté bude v jednom z opravárenských aktualizací balíku s jádrem (Stable Release Updates) omezení povoleno ve výchozím nastavení.
Pro předčasné aktivování omezení lze použít tyto příkazy: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
A pro vypnutí: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Zdroj: opennet.ru
