{"id":110711,"date":"2023-10-10T03:10:26","date_gmt":"2023-10-10T01:10:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ubuntu-ogranichit-dostup-k-user-namespace"},"modified":"2023-10-10T03:10:26","modified_gmt":"2023-10-10T01:10:26","slug":"ubuntu-ogranichit-dostup-k-user-namespace","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/ubuntu-ogranichit-dostup-k-user-namespace","title":{"rendered":"Ubuntu wird den Zugriff auf den Benutzer-Namespace einschr\u00e4nken","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Firma Canonical hat \u00c4nderungen in Ubuntu 23.10 angek\u00fcndigt, die den Zugriff der Benutzer auf Benutzer-Namensr\u00e4ume (user namespace) einschr\u00e4nken. Dies wird die Sicherheit von Systemen erh\u00f6hen, die containerbasierte Isolation verwenden, um Schwachstellen zu sch\u00fctzen, die Manipulationen mit dem Benutzer-Namensraum erfordern. Laut Google ben\u00f6tigen 44 % der Exploits, die an dem Belohnungsprogramm zur Entdeckung von Schwachstellen im Linux-Kernel teilnehmen, die M\u00f6glichkeit zur Erstellung von Benutzer-Namensr\u00e4umen. <\/p>\n
Anstelle einer vollst\u00e4ndigen Blockierung des Zugriffs auf den User-Namespace in Ubuntu wird ein hybrides Schema verwendet, das einigen Programmen die M\u00f6glichkeit gibt, einen User-Namespace zu erstellen, wenn ein AppArmor-Profil mit der Regel \"allow userns create\" oder dem Recht CAP_SYS_ADMIN vorhanden ist. Zum Beispiel wurde f\u00fcr Chrome das Profil \/etc\/apparmor.d\/opt.google.chrome.chrome erstellt, das als Beispiel verwendet werden kann, um den Zugriff auf den User-Namespace f\u00fcr andere Programme zu erm\u00f6glichen. <\/p>\n
In der kommenden Version Ubuntu 23.10 wird die Einschr\u00e4nkung des Zugriffs auf den Benutzer-Namensraum als nicht standardm\u00e4\u00dfig aktivierte Option angeboten. In den Wochen nach der Ver\u00f6ffentlichung von Ubuntu 23.10 werden die Entwickler Informationen \u00fcber m\u00f6gliche negative Auswirkungen des Deaktivierens des Zugriffs auf den Benutzer-Namensraum auf die Funktionsweise von Paketen sammeln und entsprechende AppArmor-Profile vorbereiten. Danach wird die Einschr\u00e4nkung in einem der Korrekturupdates des Kernels (Stable Release Updates) standardm\u00e4\u00dfig aktiviert. <\/p>\n
F\u00fcr die vorzeitige Aktivierung der Einschr\u00e4nkung k\u00f6nnen folgende Befehle verwendet werden: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1 <\/p>\n