Veröffentlichung von Bubblewrap 0.6, einer Schicht zur Erstellung isolierter Umgebungen.

Die Veröffentlichung des Toolkit zur Organisation der Arbeit in isolierten Umgebungen mit Bubblewrap 0.6 ist verfügbar. Dieses wird in der Regel verwendet, um einzelne Anwendungen von nicht privilegierten Benutzern einzuschränken. In der Praxis wird Bubblewrap im Projekt Flatpak als Schicht zur Isolierung von aus Paket-Anwendungen gestarteten Programmen eingesetzt. Der Code des Projekts ist in C geschrieben und wird unter der Lizenz LGPLv2+ vertrieben.

Zur Isolierung werden die traditionellen Technologien der Container-Virtualisierung für Linux verwendet, die auf cgroups, Namespaces, Seccomp und SELinux basieren. Um privilegierte Operationen zur Konfiguration des Containers durchzuführen, wird Bubblewrap mit Root-Rechten (eine ausführbare Datei mit SUID-Flag) gestartet, gefolgt von einem Privilegienabbau nach Abschluss der Containerinitialisierung.

Die Aktivierung von Benutzer-Namensräumen (user namespaces), die es ermöglichen, in Containern einen separaten Satz von Identifikatoren zu verwenden, ist nicht erforderlich, da sie in vielen Distributionen standardmäßig nicht aktiviert ist. Bubblewrap wird als eingeschränkte SUID-Implementierung eines Teilbereichs der Funktionen von Benutzer-Namensräumen positioniert – zur Ausnahme aller Benutzer- und Prozessidentifikatoren aus der Umgebung, außer dem aktuellen, werden die Modi CLONE_NEWUSER und CLONE_NEWPID verwendet. Zum zusätzlichen Schutz werden von Bubblewrap verwaltete Programme im PR_SET_NO_NEW_PRIVS-Modus ausgeführt, der das Erlangen neuer Berechtigungen, wie z. B. bei vorhandenem Setuid-Flag, verbietet.

Die Isolierung auf Dateisystemebene erfolgt durch die standardmäßige Schaffung eines neuen Mount-Namensraums, in dem mit tmpfs ein leeres Root-Dateisystem erstellt wird. Notwendige Partitionen eines externen Dateisystems werden bei Bedarf im Modus „mount —bind“ an dieses Dateisystem angehängt (zum Beispiel wird bei der Ausführung mit der Option „bwrap —ro-bind /usr /usr“ das Verzeichnis /usr aus dem Hauptsystem im Nur-Lese-Modus bereitgestellt). Die Netzwerkfunktionen beschränken sich auf den Zugang zum Loopback-Interface, während der Netzwerkstack durch die Flags CLONE_NEWNET und CLONE_NEWUTS isoliert wird.

Der entscheidende Unterschied zu einem ähnlichen Projekt wie Firejail, das ebenfalls ein setuid-Modell zur Ausführung nutzt, besteht darin, dass Bubblewrap nur das notwendige Minimum an Funktionen für die Erstellung von Containern bereitstellt. Alle erweiterten Funktionen, die für die Ausführung grafischer Anwendungen, die Interaktion mit dem Desktop und die Filterung von Anfragen an Pulseaudio erforderlich sind, sind auf die Seite von Flatpak ausgelagert und erfolgen bereits nach der Privilegienenthebung. Firejail hingegen vereint alle zugehörigen Funktionen in einer einzigen ausführbaren Datei, was die Überprüfung und Aufrechterhaltung der Sicherheit erschwert.

In der neuen Version:

• Unterstützung des Build-Systems Meson hinzugefügt. Die Unterstützung des Builds mit Autotools bleibt vorerst erhalten, wird jedoch in einer der nächsten Versionen entfernt.
• Die Option „—add-seccomp“ wurde implementiert, um mehr als ein seccomp-Programm hinzuzufügen. Eine Warnung wurde hinzugefügt, dass bei mehrfacher Angabe der Option „—seccomp“ nur der letzte Parameter angewendet wird.
• Der Master-Zweig im Git-Repository wurde in Main umbenannt.
• Teilweise Unterstützung der REUSE-Spezifikation hinzugefügt, die den Prozess der Angabe von Lizenz- und Urheberrechtsinformationen vereinheitlicht. In viele Code-Dateien wurden SPDX-License-Identifier-Header eingefügt. Die Einhaltung der REUSE-Empfehlungen erleichtert die automatische Bestimmung, welche Lizenz für welche Teile des Anwendungscodes gilt.
• Die Überprüfung des Werts des Arguments des Kommandozeilenzählers (argc) wurde hinzugefügt und ein Notausgang implementiert, wenn der Zähler null beträgt. Diese Änderung hilft, Sicherheitsprobleme zu vermeiden, die durch eine fehlerhafte Verarbeitung der übergebenen Kommandozeilenargumente entstehen, wie z. B. CVE-2021-4034 in Polkit.

Quelle: opennet.ru