projektudgivelse , som udvikler et system til isoleret kørsel af grafiske, konsol- og serverapplikationer. Brugen af Firejail mindsker risikoen for kompromittering af hovedsystemet ved kørsel af mistænkelige eller potentielt sårbare programmer. Programmet er skrevet i C-sprog, under GPLv2-licensen og kan køre på enhver Linux-distribution med en kernel ældre end 3.0. Klar pakker med Firejail i deb (Debian, Ubuntu) og rpm (CentOS, Fedora) formater.
Til isolering i Firejail navneområder (namespaces), AppArmor og systemopkaldsfiltrering (seccomp-bpf) i Linux. Efter opstart bruger programmet og alle dets underprocesser separate visninger af kerneressourcer, såsom netværksstak, proces tabel og monteringspunkter. Sammenkoblede applikationer kan samles i en fælles sandbox. Hvis ønskes, kan Firejail også anvendes til at køre Docker, LXC og OpenVZ-containere.
I modsætning til containeriseringsværktøjer er firejail ekstremt i konfigurationen og kræver ikke forberedelse af et systembillede – indholdet af containeren dannes on-the-fly baseret på det aktuelle FS og slettes efter afslutningen af programmet. Der gives fleksible midler til at definere adgangsregler til filsystemet, man kan bestemme hvilke filer og mapper der er tilladt eller forbudt adgang til, oprette temporære FS (tmpfs) for data, begrænse adgang til filer eller mapper kun til læseadgang, kombinere mapper via bind-mount og overlayfs.
Til et stort antal populære applikationer, herunder Firefox, Chromium, VLC og Transmission, er der forberedt færdige for isolering af systemopkald. For at køre et program i isolationsmode er det tilstrækkeligt at angive applikationens navn som et argument til firejail-værktøjet, for eksempel 'firejail firefox' eller 'sudo firejail /etc/init.d/nginx start'.
I den nye version:
- En sårbarhed, der gør det muligt for ondsindede processer at omgå systemopkaldsbegrænsningen, er blevet rettet. Sårbarheden består i, at Seccomp-filtre kopieres til katalogen /run/firejail/mnt, som er skrivebar inden for det isolerede miljø. Ondsindede processer, der køres i isoleringsmodus, kan ændre disse filer, hvilket vil føre til, at nye processer, der startes i dette samme miljø, udføres uden at anvende systemopkaldsfilteret;
- I memory-deny-write-execute-filteret er opkaldet "memfd_create" blevet blokeret;
- En ny mulighed "private-cwd" er føjet til for at ændre arbejdsbiblioteket for jail;
- Muligheden "—nodbus" er blevet tilføjet for at blokere D-Bus sockets;
- Støtte til CentOS 6 er genoprettet;
- støtten for pakker i formaterne og .
, at disse pakker skal bruge deres eget værktøj; - Nye profiler til isolation af 87 ekstra programmer er tilføjet, herunder mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp og cantata.
Kilde: opennet.ru
