Ubuntu wird den Zugriff auf den Benutzer-Namespace einschränken

Die Firma Canonical hat Änderungen in Ubuntu 23.10 angekündigt, die den Zugriff der Benutzer auf Benutzer-Namensräume (user namespace) einschränken. Dies wird die Sicherheit von Systemen erhöhen, die containerbasierte Isolation verwenden, um Schwachstellen zu schützen, die Manipulationen mit dem Benutzer-Namensraum erfordern. Laut Google benötigen 44 % der Exploits, die an dem Belohnungsprogramm zur Entdeckung von Schwachstellen im Linux-Kernel teilnehmen, die Möglichkeit zur Erstellung von Benutzer-Namensräumen.

Anstatt den Zugriff auf den Benutzer-Namensraum in Ubuntu vollständig zu blockieren, wird ein hybrides Schema verwendet, das bestimmten Programmen die Erstellung von Benutzer-Namensräumen ermöglicht, sofern ein AppArmor-Profil mit der Regel „allow userns create“ oder die Berechtigung CAP_SYS_ADMIN vorhanden ist. Zum Beispiel wurde für Chrome das Profil /etc/apparmor.d/opt.google.chrome.chrome erstellt, das als Beispiel dienen kann, um anderen Programmen den Zugriff auf den Benutzer-Namensraum zu ermöglichen.

In der kommenden Version Ubuntu 23.10 wird die Einschränkung des Zugriffs auf den Benutzer-Namensraum als nicht standardmäßig aktivierte Option angeboten. In den Wochen nach der Veröffentlichung von Ubuntu 23.10 werden die Entwickler Informationen über mögliche negative Auswirkungen des Deaktivierens des Zugriffs auf den Benutzer-Namensraum auf die Funktionsweise von Paketen sammeln und entsprechende AppArmor-Profile vorbereiten. Danach wird die Einschränkung in einem der Korrekturupdates des Kernels (Stable Release Updates) standardmäßig aktiviert.

Für die vorzeitige Aktivierung der Einschränkung können folgende Befehle verwendet werden: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1

Und zum Deaktivieren: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0

Quelle: opennet.ru