{"id":110711,"date":"2023-10-10T03:10:26","date_gmt":"2023-10-10T01:10:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ubuntu-ogranichit-dostup-k-user-namespace"},"modified":"2023-10-10T03:10:26","modified_gmt":"2023-10-10T01:10:26","slug":"ubuntu-ogranichit-dostup-k-user-namespace","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ubuntu-ogranichit-dostup-k-user-namespace","title":{"rendered":"Ubuntu wird den Zugriff auf den User-Namespace einschr\u00e4nken.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Firma Canonical hat in Ubuntu 23.10 \u00c4nderungen vorgenommen, die den Zugriff von Benutzern auf die Benutzer-Namensr\u00e4ume (user namespace) einschr\u00e4nken. Dies soll die Sicherheit von Systemen erh\u00f6hen, die Container-Isolierung nutzen, und sie vor Schwachstellen sch\u00fctzen, f\u00fcr deren Ausnutzung Manipulationen mit den Benutzer-Namensr\u00e4umen erforderlich sind. Laut Google erfordern 44 % der Exploits, die im Rahmen des Belohnungsprogramms zur Auffindung von Schwachstellen im Linux-Kernel ausgezeichnet werden, die M\u00f6glichkeit, Benutzer-Namensr\u00e4ume zu erstellen. <\/p>\n
Anstelle einer vollst\u00e4ndigen Sperrung des Zugriffs auf den User-Namespace in Ubuntu wurde ein hybrides Schema angewendet, das einigen Programmen die M\u00f6glichkeit gibt, einen User-Namespace zu erstellen, wenn ein AppArmor-Profil mit der Regel \u201eallow userns create\u201c oder das Recht CAP_SYS_ADMIN vorhanden ist. Zum Beispiel wurde f\u00fcr Chrome das Profil \/etc\/apparmor.d\/opt.google.chrome.chrome erstellt, das als Beispiel zur Gew\u00e4hrung des Zugriffs auf den User-Namespace f\u00fcr andere Programme verwendet werden kann. <\/p>\n
In der kommenden Version von Ubuntu 23.10 wird die Einschr\u00e4nkung des Zugriffs auf den User-Namespace als Option angeboten, die standardm\u00e4\u00dfig nicht aktiviert ist. In den Wochen nach der Ver\u00f6ffentlichung von Ubuntu 23.10 werden die Entwickler Informationen \u00fcber m\u00f6gliche negative Auswirkungen der Deaktivierung des Zugriffs auf den User-Namespace auf die Funktionalit\u00e4t von Paketen sammeln und entsprechende AppArmor-Profile vorbereiten. Anschlie\u00dfend wird die Einschr\u00e4nkung in einem der Fehlerkorrektur-Updates des Kernels (Stable Release Updates) standardm\u00e4\u00dfig aktiviert. <\/p>\n
Um die Einschr\u00e4nkung vorzeitig zu aktivieren, k\u00f6nnen folgende Befehle verwendet werden: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1 <\/p>\n