Microsoft har offentliggjort en opdatering af CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), som udvikles som en universel grundplatform for Linux-miljøer, der anvendes i cloudinfrastruktur, edge-systemer og forskellige Microsoft-tjenester. Projektet sigter mod at standardisere de Linux-løsninger, der anvendes i Microsoft, og forenkle vedligeholdelsen af Linux-systemer til forskellige formål for at holde dem opdaterede. Projektets resultater distribueres under MIT-licensen.
I den nye version:
- Der er påbegyndt opbygning af et grundlæggende iso-billede (700 MB). I den første udgave blev der ikke leveret færdige ISO-billeder, da det var meningen, at brugeren selv kunne oprette et billede med den nødvendige indhold (byggeinstruktioner er forberedt til Ubuntu 18.04).
- Der er implementeret understøttelse af automatisk opdatering af pakker, for hvilket der er inkluderet en Dnf-Automatic-applikation.
- Linux-kernen er opdateret til version 5.10.60.1. Versionerne af programmer er blevet opdateret, herunder openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
- OpenSSL giver mulighed for at genindføre understøttelse af TLS 1 og TLS 1.1.
- For at kontrollere værktøjernes kildekode er programmet sha256sum blevet anvendt.
- Nye pakker inkluderet: etcd-tools, cockpit, aide, fipscheck, tini.
- Pakkerne brp-strip-debug-symbols, brp-strip-unneeded og ca-legacy er blevet fjernet. SPEC-filerne til pakkerne Dotnet og aspnetcore er blevet fjernet og hører nu til den primære udviklergruppe af .NET og findes i et separat repositorium.
- Fejlrettelser vedrørende sårbarheder er blevet overført til de anvendte versioner af pakkerne.
Vi minder om, at CBL-Mariner-distributionen tilbyder et lille standardudvalg af grundlæggende pakker, der fungerer som en universel basis for oprettelse af indhold til containere, vært-miljøer og tjenester, der kører i cloud-infrastrukturer og på edge-enheder. Mere komplekse og specialiserede løsninger kan skabes ved at tilføje yderligere pakker oven på CBL-Mariner, men basen for alle sådanne systemer forbliver uændret, hvilket forenkler vedligeholdelse og forberedelse af opdateringer. For eksempel bruges CBL-Mariner som grundlag for mini-distributionen WSLg, hvor der leveres komponenter til den grafiske stak for at muliggøre kørsel af GUI-applikationer til Linux i miljøer baseret på WSL2 (Windows Subsystem for Linux). Den udvidede funktionalitet i WSLg realiseres ved at inkludere yderligere pakker med kompositter. serveren Weston, XWayland, PulseAudio og FreeRDP.
CBL-Mariner byggeværktøj gør det muligt at generere både individuelle RPM-pakker baseret på SPEC-filer og kildekoder, samt monolitiske systembilleder, der dannes ved hjælp af rpm-ostree-værktøjet og opdateres atomisk uden opdeling i separate pakker. Dette understøtter to leveringsmodeller for opdateringer: gennem opdatering af individuelle pakker og gennem ombygning og opdatering af hele systembilledet. Et repository er tilgængeligt, som indeholder cirka 3000 allerede samlede RPM-pakker, der kan bruges til at sammensætte egne billeder baseret på konfigurationsfilen.
Distributionen inkluderer kun de mest nødvendige komponenter og er optimeret til minimalt forbrug af hukommelse og diskplads, samt for høj opstartshastighed. Distributionen er også bemærkelsesværdig ved at inkludere forskellige ekstra mekanismer til at forbedre sikkerheden. I projektet anvendes en tilgang med 'maksimal sikkerhed som standard'. Det er muligt at filtrere systemopkald ved hjælp af seccomp-mekanismen, kryptering af diskpartitioner og verifikation af pakker via digitale signaturer.
De understøttede randomiseringsmetoder i Linux-kernen er aktiveret, samt mekanismer til beskyttelse mod angreb relateret til symboliske links, mmap, /dev/mem og /dev/kmem. For hukommelsesområder, hvor kerne- og moduldatasegmenter er placeret, er der indstillet skrivebeskyttelse, og udførelse af kode er forbudt. Der er mulighed for at forhindre indlæsning af kernemoduler efter systeminitialisering. Til filtrering af netværkspakker anvendes værktøjet iptables. Beskyttelsesmetoder mod stack-overflow, buffer-overflows og formatproblemer (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) er som standard aktiveret under bygningsprocessen.
Til service- og boot-håndtering anvendes systemmanageren systemd. Til pakkehåndtering leveres pakke managerne RPM og DNF (varianten tdnf fra vmWare). SSH-serveren aktiveres ikke som standard. For installation af distributionen er der en installationsprogram, der kan fungere i både tekst- og grafiske tilstande. I installationsprogrammet er der mulighed for at installere med et fuldt eller grundlæggende sæt pakker, der tilbydes et interface til valg af diskpartition, valg af værtens navn og oprettelse af brugere.
Kilde: opennet.ru
