{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Release des Anwendungsisolationssystems Firejail 0.9.78","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung der Firejail 0.9.78 ist erfolgt. Dieses Projekt entwickelt ein System f\u00fcr die isolierte Ausf\u00fchrung von grafischen, Konsolen- und Serveranwendungen, das das Risiko einer Kompromittierung des Hauptsystems bei der Ausf\u00fchrung von unsicheren oder potenziell anf\u00e4lligen Programmen minimiert. Die Software ist in C geschrieben, wird unter der GPLv2-Lizenz vertrieben und kann in jeder Linux-Distribution mit einem Kernel ab Version 3.0 verwendet werden. Vorgefertigte Pakete von Firejail sind in den Formaten deb (Debian, Ubuntu) und rpm (CentOS, Fedora) verf\u00fcgbar. <\/p>\n
F\u00fcr die Isolation in Firejail werden Namespaces, AppArmor und system call filtering (seccomp-bpf) in Linux verwendet. Nach dem Start verwendet das Programm sowie alle seine Kindprozesse separate Ansichten der Systemressourcen, wie etwa den Netzwerkstack, die Prozessliste und die Mount-Punkte. Abh\u00e4ngige Anwendungen k\u00f6nnen in einem gemeinsamen Sandbox zusammengef\u00fchrt werden. Bei Bedarf kann Firejail auch zum Starten von Docker-, LXC- und OpenVZ-Containern verwendet werden. <\/p>\n
Im Gegensatz zu Containerschutztools ist Firejail extrem einfach zu konfigurieren und erfordert keine Vorbereitung eines Systemimages \u2013 der Container wird dynamisch aus dem aktuellen FS-Inhalt erstellt und nach Beendigung der Anwendung gel\u00f6scht. Flexible Mittel zur Festlegung von Zugriffsregeln auf das Dateisystem werden bereitgestellt, die bestimmen, auf welche Dateien und Verzeichnisse der Zugriff erlaubt oder untersagt ist, tempor\u00e4re FS (tmpfs) f\u00fcr Daten anf\u00fcgen, den Zugriff auf Dateien oder Verzeichnisse nur auf Lesen beschr\u00e4nken und Verzeichnisse \u00fcber Bind-Mount und OverlayFS kombinieren. <\/p>\n
F\u00fcr eine gro\u00dfe Anzahl beliebter Anwendungen, darunter Firefox, Chromium, VLC und Transmission, wurden vorgefertigte Profile f\u00fcr die Isolation von Systemaufrufen erstellt. Um die erforderlichen Berechtigungen zum Einrichten einer isolierten Umgebung zu erhalten, wird die ausf\u00fchrbare Datei Firejail mit dem SUID-Root-Flag installiert (nach der Initialisierung werden diese Berechtigungen zur\u00fcckgesetzt). Um ein Programm im Isolationsmodus auszuf\u00fchren, gen\u00fcgt es, den Namen der Anwendung als Argument f\u00fcr das Firejail-Tool anzugeben, zum Beispiel \u201efirejail firefox\u201c oder \u201esudo firejail \/etc\/init.d\/nginx start\u201c. <\/p>\n
In der neuen Version: <\/p>\n
\n
Die Konfigurationsdatei firejail.config wurde um die Optionen arg-max-count, arg-max-len, env-max-count und env-max-len erweitert, um die Limits f\u00fcr die Anzahl und Gr\u00f6\u00dfe der Kommandozeilenoptionen und Umgebungsvariablen zu \u00e4ndern. Standardm\u00e4\u00dfig ist die Anzahl der Argumente auf 128, die Anzahl der Umgebungsvariablen auf 256 und die Gr\u00f6\u00dfe jedes Arguments \u2013 PATH_MAX aus limits.h (in Linux 40196) + 32.\n
Die Option \u201e--xephyr-extra-params\u201c wurde hinzugef\u00fcgt, um zus\u00e4tzliche Optionen f\u00fcr Xephyr (das zur Erstellung von Sandbox-Umgebungen X11 mit einem eigenen X-Server in einem Fenster verwendet wird) in der Befehlszeile zu definieren, ohne firejail.config zu \u00e4ndern.\n
Das in der Sandbox-Umgebung installierte Tool bwrap (bubblewrap) wurde durch die Schicht fbwrap ersetzt, die Programme ohne Isolation ausf\u00fchrt, um Probleme mit dem Start von Firefox, Thunderbird und GIMP aufgrund des Aufrufs von glycin 2.0.0 aus gdk-pixbuf2 mit bwrap zu l\u00f6sen. Zur Verwendung von bwrap anstelle der Schicht wurde die Option \u201e--allow-bwrap\u201c hinzugef\u00fcgt.\n
Die Tabellen der Systemaufrufe f\u00fcr seccomp wurden aktualisiert. Neue Systemaufrufe wie epoll_pwait2 und futex_wait wurden hinzugef\u00fcgt.\n
Die Build-Option \u201e--disable-globalcfg\u201c wurde entfernt, die Unterst\u00fctzung f\u00fcr overlayfs (\u201e--overlay\u201c) und den IDS-Modus (Intrusion Detection System, \u201e--ids\u201c) eingestellt.\n
Isolation Profile f\u00fcr den Texteditor ne (Texteditor), den Browser Trivalent und die Spiele-Engines OpenRA, quakespasm, gzdoom, lzdoom, uzdoom wurden hinzugef\u00fcgt.\n
Die Profile f\u00fcr thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave und hashcat wurden aktualisiert. <\/ul>\n