Veröffentlichung von Bubblewrap 0.6, einer Schicht zum Erstellen isolierter Umgebungen.

Die Version des Tools zur Organisation isolierter Umgebungen, Bubblewrap 0.6, ist verfügbar und wird in der Regel zur Einschränkung einzelner Anwendungen von nicht privilegierten Benutzern verwendet. In der Praxis wird Bubblewrap von dem Flatpak-Projekt als Schicht zur Isolierung von Anwendungen, die aus Paketen gestartet werden, eingesetzt. Der Projektcode ist in C geschrieben und unter der LGPLv2+-Lizenz erhältlich.

Zur Isolation werden traditionelle Linux-Technologien der Container-Virtualisierung verwendet, die auf cgroups, Namensräumen (namespaces), Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuführen, wird Bubblewrap mit Root-Rechten (ausführbare Datei mit suid-Flag) gestartet, gefolgt von einem Rücksetzen der Privilegien nach Abschluss der Initialisierung des Containers.

Die Aktivierung von Benutzer-Namensräumen (user namespaces) im System, die es ermöglichen, einen eigenen separaten Satz von Identifikatoren in Containern zu verwenden, ist für den Betrieb nicht erforderlich, da dies standardmäßig in vielen Distributionen nicht funktioniert (Bubblewrap wird als eingeschränkte suid-Implementierung einer Teilmenge der Benutzer-Namensraum-Funktionen positioniert — um alle Identifikatoren von Benutzern und Prozessen aus der Umgebung auszuschließen, abgesehen vom aktuellen, werden die Modi CLONE_NEWUSER und CLONE_NEWPID verwendet). Zum zusätzlichen Schutz werden die von Bubblewrap gesteuerten Programme im PR_SET_NO_NEW_PRIVS-Modus gestartet, der den Erhalt neuer Privilegien, z.B. bei Vorhandensein des setuid-Flags, verbietet.

Die Isolation auf Dateisystemebene erfolgt durch die standardmäßige Erstellung eines neuen Namensraums für Einhängepunkte (mount namespace), in dem durch tmpfs ein leeres Wurzelverzeichnis erstellt wird. Bei Bedarf werden externe Dateisysteme unter dem Modus „mount —bind“ an dieses Verzeichnis angehängt (z.B. wird beim Start mit der Option „bwrap —ro-bind /usr /usr“ das Verzeichnis /usr aus dem Hauptsystem im Nur-Lese-Modus weitergeleitet). Die Netzwerkfunktionen werden durch den Zugriff auf das Loopback-Interface mit Isolation des Netzwerkstapels über die Flags CLONE_NEWNET und CLONE_NEWUTS eingeschränkt.

Ein wesentliches Unterscheidungsmerkmal zu dem ähnlichen Projekt Firejail, das ebenfalls ein Setuid-Startmodell verwendet, besteht darin, dass Bubblewrap in seiner Containererstellungsschicht nur das notwendige Minimum an Funktionen einbezieht, während alle erweiterten Funktionen, die für die Ausführung grafischer Anwendungen, die Interaktion mit dem Desktop und die Filterung von Anfragen an Pulseaudio erforderlich sind, auf die Seite von Flatpak verschoben werden und bereits nach der Privilegienrücksetzung ausgeführt werden. Firejail hingegen vereint alle zugehörigen Funktionen in einer ausführbaren Datei, was die Sicherheitsüberprüfung und den Erhalt eines angemessenen Sicherheitsniveaus erschwert.

In der neuen Version:

• Die Unterstützung des Build-Systems Meson wurde hinzugefügt. Die Unterstützung für den Build mit Autotools bleibt vorerst erhalten, wird aber in einer der nächsten Versionen entfernt.
• Die Option „—add-seccomp“ wurde implementiert, um mehr als ein Seccomp-Programm hinzuzufügen. Eine Warnung wurde hinzugefügt, dass bei wiederholter Angabe der Option „—seccomp“ nur der letzte Parameter angewendet wird.
• Der Master-Zweig im Git-Repository wurde in main umbenannt.
• Teilweise Unterstützung der REUSE-Spezifikation wurde hinzugefügt, die den Prozess der Angabe von Lizenz- und Urheberrechtsinformationen vereinheitlicht. In viele Quellcode-Dateien wurden SPDX-License-Identifier-Header eingefügt. Die Einhaltung der REUSE-Empfehlungen erleichtert die automatische Bestimmung, welche Lizenz auf welche Teile des Anwendungscodes angewendet wird.
• Eine Überprüfung des Wertes des Zählers der Kommandozeilenargumente (argc) wurde hinzugefügt, und ein sofortiger Ausstieg wurde implementiert, falls der Zähler null beträgt. Diese Änderung hilft, Sicherheitsprobleme zu blockieren, die durch unsachgemäße Verarbeitung übergebener Kommandozeilenargumente verursacht werden, wie CVE-2021-4034 in Polkit.

Quelle: opennet.ru