Projektveröffentlichung , im Rahmen dessen ein System fĂŒr die isolierte AusfĂŒhrung von grafischen, Konsolen- und Serveranwendungen entwickelt wird. Die Anwendung von Firejail minimiert das Risiko einer Kompromittierung des Hauptsystems beim Starten von nicht vertrauenswĂŒrdigen oder potenziell anfĂ€lligen Programmen. Das Programm ist in der Programmiersprache C geschrieben, unter der Lizenz GPLv2 und kann in jeder Linux-Distribution mit einem Kernel höher als 3.0 laufen. Fertige Pakete mit Firejail in den Formaten deb (Debian, Ubuntu) und rpm (CentOS, Fedora).
FĂŒr die Isolation in Firejail Namespaces, AppArmor und Systemaufruffilterung (seccomp-bpf) in Linux verwendet. Nach dem Start verwendet das Programm und alle seine untergeordneten Prozesse separate Ansichten der Kernel-Ressourcen, wie z. B. Netzwerk-Stack, Prozess-Tabelle und Mount-Punkte. AbhĂ€ngige Anwendungen können in einem gemeinsamen Sandbox zusammengefasst werden. Bei Bedarf kann Firejail auch zum Starten von Docker-, LXC- und OpenVZ-Containern verwendet werden.
Im Gegensatz zu Containermethoden ist Firejail Ă€uĂerst in der Konfiguration und erfordert keine Vorbereitung eines Systembildes â der Inhalt des Containers wird zur Laufzeit basierend auf dem aktuellen FS-Inhalt gebildet und nach dem Ende der Applikation gelöscht. Es stehen flexible Mittel zur VerfĂŒgung, um Zugriffsregeln fĂŒr das Dateisystem festzulegen, man kann bestimmen, auf welche Dateien und Verzeichnisse der Zugriff erlaubt oder verweigert wird, temporĂ€re Dateisysteme (tmpfs) fĂŒr Daten anwenden, den Zugang zu Dateien oder Verzeichnissen nur zum Lesen einschrĂ€nken sowie Verzeichnisse ĂŒber bind-mount und overlayfs kombinieren.
FĂŒr eine Vielzahl beliebter Anwendungen, einschlieĂlich Firefox, Chromium, VLC und Transmission, wurden vorbereitete Systemaufrufisolierungen. Um das Programm im Isolationsmodus auszufĂŒhren, genĂŒgt es, den Namen der Anwendung als Argument des Firejail-Tools anzugeben, z.B. âfirejail firefoxâ oder âsudo firejail /etc/init.d/nginx startâ.
In der neuen Version:
- Eine Schwachstelle wurde behoben, die es böswilligen Prozessen ermöglicht, die SystemaufrufbeschrĂ€nkungen zu umgehen. Das Wesen der Schwachstelle besteht darin, dass die Seccomp-Filter in das Verzeichnis /run/firejail/mnt kopiert werden, das im isolierten Umfeld beschreibbar ist. Böswillige Prozesse, die im Isolationsmodus ausgefĂŒhrt werden, können diese Dateien Ă€ndern, was dazu fĂŒhrt, dass neue Prozesse, die in derselben Umgebung gestartet werden, ohne Anwendung des Systemaufruffilters ausgefĂŒhrt werden.
- Im Filter memory-deny-write-execute wurde der Aufruf von âmemfd_createâ blockiert;
- Eine neue Option âprivate-cwdâ wurde hinzugefĂŒgt, um das Arbeitsverzeichnis fĂŒr das Jail zu Ă€ndern;
- Die UnterstĂŒtzung fĂŒr CentOS 6 wurde zurĂŒckgebracht;
- UnterstĂŒtzung fĂŒr Pakete in den Formaten
- Es wurde angegeben und .
Neue Profile fĂŒr die Isolierung von 87 zusĂ€tzlichen Programmen wurden hinzugefĂŒgt, darunter mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp und cantata. - Die Veröffentlichung des Projekts Firejail wurde bekanntgegeben.
Quelle: opennet.ru
