{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Release des Anwendungsisolationssystems Firejail 0.9.78","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung von Firejail 0.9.78, einem System zur isolierten Ausf\u00fchrung von grafischen, Konsolen- und Serveranwendungen, wurde bekanntgegeben. Es minimiert das Risiko einer Kompromittierung des Hauptsystems beim Ausf\u00fchren von nicht vertrauensw\u00fcrdigen oder potenziell anf\u00e4lligen Programmen. Das Programm ist in C geschrieben, wird unter der GPLv2-Lizenz vertrieben und kann in jeder Linux-Distribution mit einem Kernel \u00e4lter als 3.0 verwendet werden. Fertige Pakete von Firejail sind im deb-Format (Debian, Ubuntu) und im rpm-Format (CentOS, Fedora) verf\u00fcgbar. <\/p>\n
Firejail verwendet zur Isolation die Linux-Namensr\u00e4ume (namespaces), AppArmor und syscall-Filterung (seccomp-bpf). Nach dem Start nutzt das Programm zusammen mit all seinen Unterprozessen separate Ansichten der Kernelressourcen, wie z. B. den Netzwerkstack, die Prozessliste und die Mount-Punkte. Abh\u00e4ngige Anwendungen k\u00f6nnen in einem gemeinsamen Sandbox zusammengefasst werden. Firejail kann auch zum Starten von Docker-, LXC- und OpenVZ-Containern verwendet werden. <\/p>\n
Im Gegensatz zu Containisolierungswerkzeugen ist firejail extrem einfach zu konfigurieren und ben\u00f6tigt keine Vorbereitung des Systemabbilds \u2014 der Container wird w\u00e4hrend der Laufzeit basierend auf dem Inhalt des aktuellen Dateisystems erstellt und nach Beendigung der Anwendung gel\u00f6scht. Flexible Mittel zur Festlegung von Zugriffsregeln auf das Dateisystem werden bereitgestellt, um zu bestimmen, auf welche Dateien und Verzeichnisse der Zugriff erlaubt oder verboten ist, tempor\u00e4re Dateisysteme (tmpfs) f\u00fcr Daten zu verbinden, den Zugriff auf Dateien oder Verzeichnisse nur im Lese-Modus zu beschr\u00e4nken, und Verzeichnisse \u00fcber bind-mount und overlayfs zu kombinieren. <\/p>\n
F\u00fcr viele beliebte Anwendungen wie Firefox, Chromium, VLC und Transmission sind vorgefertigte Profile zur Isolierung von Systemaufrufen bereitgestellt. Um die erforderlichen Berechtigungen zur Konfiguration der isolierten Umgebung zu erhalten, wird die ausf\u00fchrbare Datei von Firejail mit dem SUID-Root-Flag installiert (nach der Initialisierung werden die Berechtigungen zur\u00fcckgesetzt). Um ein Programm im Isolationsmodus auszuf\u00fchren, gen\u00fcgt es, den Namen der Anwendung als Argument f\u00fcr das Firejail-Tool anzugeben, zum Beispiel \u201efirejail firefox\u201c oder \u201esudo firejail \/etc\/init.d\/nginx start\u201c. <\/p>\n
In der neuen Version: <\/p>\n
\n
In die Konfigurationsdatei firejail.config wurden die Optionen arg-max-count, arg-max-len, env-max-count und env-max-len hinzugef\u00fcgt, um die Limits f\u00fcr die Anzahl und die Gr\u00f6\u00dfe von Befehlszeilenoptionen und Umgebungsvariablen zu \u00e4ndern. Standardm\u00e4\u00dfig ist die Anzahl der Argumente auf 128 begrenzt, die Anzahl der Umgebungsvariablen auf 256, und die Gr\u00f6\u00dfe jedes Arguments betr\u00e4gt - PATH_MAX aus limits.h (in Linux 40196) + 32.\n
Die Option \u00ab--xephyr-extra-params\u00bb wurde hinzugef\u00fcgt, um zus\u00e4tzliche Optionen f\u00fcr Xephyr festzulegen (wird verwendet, um Sandbox-Umgebungen f\u00fcr X11 mit einem eigenen X-Server in einem Fenster zu erstellen) in der Befehlszeile, ohne firejail.config zu \u00e4ndern.\n
Das im Sandbox-Umfeld verwendete Dienstprogramm bwrap (bubblewrap) wurde durch die Schicht fbwrap ersetzt, die Programme ohne Isolierung ausf\u00fchrt, um Probleme mit dem Start von Firefox, Thunderbird, GIMP aufgrund des Aufrufs von glycin 2.0.0 aus gdk-pixbuf2 unter Verwendung von bwrap zu l\u00f6sen. F\u00fcr die Verwendung von bwrap anstelle der Schicht wurde die Option \u00ab--allow-bwrap\u00bb hinzugef\u00fcgt.\n
Die Tabellen der Systemaufrufe f\u00fcr seccomp wurden aktualisiert. Neue Systemaufrufe wie epoll_pwait2 und futex_wait wurden hinzugef\u00fcgt.\n
Die Build-Option \u00ab--disable-globalcfg\u00bb wurde entfernt, die Unterst\u00fctzung f\u00fcr overlayfs (\u00ab--overlay\u00bb) und den IDS-Modus (Intrusion Detection System, \u00ab--ids\u00bb) eingestellt.\n
Isolationsprofile f\u00fcr den Texteditor ne (Texteditor), den Trivalent-Browser und die Spiele-Engines OpenRA, quakespasm, gzdoom, lzdoom, uzdoom hinzugef\u00fcgt.\n