Die Microsoft Corporation hat das erste stabile Update des neuen CBL-Mariner 2.0 (Common Base Linux Mariner) Distributionszweigs ver\u00f6ffentlicht, der als universelle Basisplattform f\u00fcr Linux-Umgebungen dient, die in Cloud-Infrastrukturen, Edge-Systemen und verschiedenen Microsoft-Diensten verwendet werden. Das Projekt zielt darauf ab, die in Microsoft verwendeten Linux-L\u00f6sungen zu vereinheitlichen und die Wartung von Linux-Systemen verschiedener Art auf dem neuesten Stand zu halten. Die Ergebnisse des Projekts werden unter der MIT-Lizenz ver\u00f6ffentlicht. Die Paketbuilds werden f\u00fcr die Architekturen aarch64 und x86_64 erstellt. <\/p>\n
Die neue Version ist bemerkenswert f\u00fcr das bedeutende Update von Softwareversionen. Darunter wurden die Versionen des Linux-Kernels 5.15 aktualisiert (im Branch 1.0 wurde Kernel 5.4 verwendet), systemd 250, glibc 2.35, GCC 11.2, clang 12, Python 3.9, ruby 3.1.2, rpm 4.17, qemu 6.1, perl 5.34, ostree 2022.1. Das Basispaket-Repository umfasst Komponenten zum Erstellen von grafischen Schnittstellen, wie Wayland 1.20, Mesa 21.0, GTK 3.24 und X.Org Server 1.20.10, die zuvor in einem separaten coreui-Repository bereitgestellt wurden. Kernel-Builds mit PREEMPT_RT-Patches wurden hinzugef\u00fcgt, um in Echtzeitsystemen eingesetzt werden zu k\u00f6nnen. <\/p>\n
Die CBL-Mariner-Distribution bietet eine kleine standardisierte Sammlung grundlegender Pakete, die als universelle Grundlage f\u00fcr die Erstellung von Container-F\u00fcllungen, Host-Umgebungen und Diensten dienen, die in Cloud-Infrastrukturen und auf Edge-Ger\u00e4ten betrieben werden. Komplexere und spezialisierte L\u00f6sungen k\u00f6nnen durch das Hinzuf\u00fcgen zus\u00e4tzlicher Pakete \u00fcber CBL-Mariner erstellt werden, aber die Basis f\u00fcr all diese Systeme bleibt unver\u00e4ndert, was die Wartung und die Vorbereitung von Updates erleichtert. Zum Beispiel wird CBL-Mariner als Grundlage f\u00fcr die Mini-Distribution WSLg verwendet, die Komponenten des grafischen Stacks bereitstellt, um die Ausf\u00fchrung von GUI-Anwendungen unter Linux in Umgebungen, die auf dem WSL2 (Windows Subsystem for Linux) basieren, zu erm\u00f6glichen. Erweiterte Funktionen in WSLg werden durch das Hinzuf\u00fcgen zus\u00e4tzlicher Pakete mit Kompositen realisiert. Server<\/a> Weston, XWayland, PulseAudio und FreeRDP. <\/p>\n Das CBL-Mariner-Bausystem erm\u00f6glicht die Generierung sowohl einzelner RPM-Pakete auf Basis von SPEC-Dateien und Quelltexten als auch monolithischer Systemabbilder, die mit den Werkzeugen rpm-ostree erstellt und atomar aktualisiert werden, ohne sie in einzelne Pakete aufzuteilen. Entsprechend werden zwei Modelle f\u00fcr die Bereitstellung von Updates unterst\u00fctzt: \u00fcber das Update einzelner Pakete und durch den Neubau und die Aktualisierung des gesamten Systemabbilds. Ein Repository, das etwa 3000 bereits erstellte RPM-Pakete umfasst, steht zur Verf\u00fcgung, welches zur Erstellung eigener Abbilder basierend auf einer Konfigurationsdatei genutzt werden kann. <\/p>\n Die Distribution umfasst nur die notwendigsten Komponenten und ist f\u00fcr einen minimalen Speicher- und Festplattenspeicherbedarf sowie eine hohe Bootgeschwindigkeit optimiert. Die Distribution zeichnet sich ebenfalls durch die Einbeziehung verschiedener zus\u00e4tzlicher Mechanismen zur Erh\u00f6hung der Sicherheit aus. Das Projekt verfolgt einen Ansatz der \u201emaximalen Sicherheit als Standard\u201c. Es besteht die M\u00f6glichkeit, Systemaufrufe mithilfe des seccomp-Mechanismus zu filtern, Festplattenpartitionen zu verschl\u00fcsseln sowie Pakete durch digitale Signaturen zu verifizieren. <\/p>\n Die im Linux-Kernel unterst\u00fctzten Modi zur Randomisierung des Adressraums sowie Mechanismen zum Schutz vor Angriffen im Zusammenhang mit symbolischen Links, mmap, \/dev\/mem und \/dev\/kmem sind aktiviert. F\u00fcr Speicherbereiche, in denen Segmente mit Daten des Kernels und der Module abgelegt werden, ist der Modus schreibgesch\u00fctzt und die Ausf\u00fchrung von Code ist verboten. Optional besteht die M\u00f6glichkeit, das Laden von Kernelmodulen nach der Systeminitialisierung zu verbieten. Zum Filtern von Netzwerkpaketen wird das Werkzeug iptables verwendet. Standardm\u00e4\u00dfig sind beim Erstellen Schutzmodi gegen Stack\u00fcberl\u00e4ufe, Puffer\u00fcberl\u00e4ufe und String-Formatierungsprobleme (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) aktiviert. <\/p>\n