Canonical har annonceret ændringer i Ubuntu 23.10, der begrænser brugernes adgang til bruger-namespaces, hvilket vil øge sikkerheden for systemer, der bruger containerisolering, mod sårbarheder, der kræver manipulation af bruger-namespaces. Ifølge Google kræver 44% af de exploits, der deltager i programmet for belønning for at finde sårbarheder i Linux-kernen, muligheden for at oprette bruger-namespaces.
I stedet for helt at blokere adgangen til bruger-namespaces i Ubuntu er der anvendt et hybrid-system, der selektivt lader visse programmer oprette bruger-namespaces, hvis de har en AppArmor-profil med reglen "allow userns create" eller rettigheden CAP_SYS_ADMIN. For eksempel er der oprettet en profil for Chrome i /etc/apparmor.d/opt.google.chrome.chrome, som kan bruges som eksempel til at give andre programmer adgang til bruger-namespaces.
I den kommende Ubuntu 23.10-version planlægger man at tilbyde begrænsningen af adgangen til bruger-namespaces som en valgmulighed, der ikke er aktiveret som standard. I løbet af de kommende uger efter udgivelsen af Ubuntu 23.10 vil udviklerne indsamle oplysninger om eventuelle negative virkninger af at deaktivere adgangen til bruger-namespaces på pakkerne og forberede de relevante AppArmor-profiler. Derefter vil begrænsningen blive aktiveret som standard i en af de efterfølgende opdateringer af kerne-pakken (Stable Release Updates).
For tidlig aktivering af begrænsningen kan følgende kommandoer anvendes: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
Og for at deaktivere den: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Kilde: opennet.ru
