Die Firma Canonical hat in Ubuntu 23.10 Änderungen vorgenommen, die den Zugriff von Benutzern auf die Benutzer-Namensräume (user namespace) einschränken. Dies soll die Sicherheit von Systemen erhöhen, die Container-Isolierung nutzen, und sie vor Schwachstellen schützen, für deren Ausnutzung Manipulationen mit den Benutzer-Namensräumen erforderlich sind. Laut Google erfordern 44 % der Exploits, die im Rahmen des Belohnungsprogramms zur Auffindung von Schwachstellen im Linux-Kernel ausgezeichnet werden, die Möglichkeit, Benutzer-Namensräume zu erstellen.
Anstelle einer vollständigen Blockierung des Zugriffs auf den Benutzer-Namensraum in Ubuntu wurde ein hybrides Modell implementiert, das bestimmten Programmen selektiv die Erstellung von Benutzer-Namensräumen erlaubt, sofern ein AppArmor-Profil mit der Regel „allow userns create“ oder die Berechtigung CAP_SYS_ADMIN vorhanden ist. Für Chrome wurde das Profil /etc/apparmor.d/opt.google.chrome.chrome erstellt, das als Beispiel zur Freigabe des Zugriffs auf den Benutzer-Namensraum für andere Programme dienen kann.
In der kommenden Version von Ubuntu 23.10 wird die Einschränkung des Zugriffs auf den User-Namespace als Option angeboten, die standardmäßig nicht aktiviert ist. In den Wochen nach der Veröffentlichung von Ubuntu 23.10 werden die Entwickler Informationen über mögliche negative Auswirkungen der Deaktivierung des Zugriffs auf den User-Namespace auf die Funktionalität von Paketen sammeln und entsprechende AppArmor-Profile vorbereiten. Anschließend wird die Einschränkung in einem der Fehlerkorrektur-Updates des Kernels (Stable Release Updates) standardmäßig aktiviert.
Um die Einschränkung vorzeitig zu aktivieren, können folgende Befehle verwendet werden: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
Und um die Einstellung zu deaktivieren: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Quelle: opennet.ru
