{"id":183160,"date":"2026-08-27T22:53:24","date_gmt":"2026-08-27T20:53:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-bubblewrap-0-12-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2026-08-27T22:53:29","modified_gmt":"2026-08-27T20:53:29","slug":"bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","title":{"rendered":"Ver\u00f6ffentlichung von Bubblewrap 0.12, einer Schicht zur Erstellung isolierter Umgebungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine neue Version des Tools zur Organisation isolierter Umgebungen Bubblewrap 0.12 wurde ver\u00f6ffentlicht, das zur Einschr\u00e4nkung einzelner Anwendungen von nicht privilegierten Benutzern verwendet wird. In der Praxis wird Bubblewrap von dem Projekt Flatpak als Schicht zur Isolierung von Anwendungen, die aus Paketen gestartet werden, eingesetzt. F\u00fcr die Isolierung kommen traditionelle Linux-Technologien der Container-Virtualisierung zum Einsatz, die auf cgroups, Namespaces, Seccomp und SELinux basieren. Der Projektcode ist in C geschrieben und wird unter der Lizenz LGPLv2.1+ verbreitet. <\/p>\n
Die Isolierung auf Dateisystemebene erfolgt durch standardm\u00e4\u00dfige Erstellung eines neuen Namensraums f\u00fcr Einh\u00e4ngepunkte (mount namespace), in dem mit tmpfs eine leere Wurzelpartition erstellt wird. In diese Partition werden bei Bedarf Partitionen des externen Dateisystems im «mount —bind»-Modus angeh\u00e4ngt (zum Beispiel beim Start mit der Option «bwrap —ro-bind \/usr \/usr» wird die Partition \/usr aus dem Hauptsystem im Nur-Lese-Modus weitergereicht). Die Netzwerkf\u00e4higkeiten werden auf den Zugriff auf das Loopback-Interface mit Isolation des Netzwerkstacks durch die Flags CLONE_NEWNET und CLONE_NEWUTS eingeschr\u00e4nkt. <\/p>\n
Um alle unn\u00f6tigen Benutzer- und Prozessidentifikatoren aus der erstellten isolierten Umgebung auszuschlie\u00dfen, k\u00f6nnen die Modi CLONE_NEWUSER (Benutzernamespace) und CLONE_NEWPID (PID-Namensraum) verwendet werden. Um das Erlangen neuer Berechtigungen zu verhindern, wird der Modus PR_SET_NO_NEW_PRIVS verwendet. F\u00fcr den Erwerb der erforderlichen Berechtigungen wird der \u201eBenutzernamespace\u201c verwendet. <\/p>\n
In der neuen Version: <\/p>\n
\n
Die Lizenz f\u00fcr den Code wurde von LGPL 2.0+ auf LGPL 2.1+ ge\u00e4ndert.\n
Die Unterst\u00fctzung f\u00fcr die Erstellung in Form einer ausf\u00fchrbaren Datei, die zus\u00e4tzliche Berechtigungen durch das SUID-Root-Flag erh\u00e4lt, wurde eingestellt. Die Unterst\u00fctzung des \u201eBenutzernamespace\u201c ist nun zwingend erforderlich. Als Grund wird der Aufwand f\u00fcr die Wartung der Version mit dem SUID-Flag bei der fl\u00e4chendeckenden Unterst\u00fctzung des \u201eBenutzernamespace\u201c in Distributionen genannt.\n
Die Option \u201e\u2014not-a-security-boundary\u201c wurde hinzugef\u00fcgt. Wenn diese gesetzt ist, f\u00fchren bestimmte Fehler bei der Konfiguration einer isolierten Sandbox-Umgebung, wie die erneute Bereitstellung von Unterbereichen, nicht zu einem Abbruch.\n
Eine Build-Option \u201eassume_kernel\u201c wurde hinzugef\u00fcgt, die die R\u00fcckw\u00e4rtskompatibilit\u00e4t mit Linux-Kernen deaktiviert, die \u00e4lter als die angegebene Version sind. Zum Beispiel w\u00fcrde die Angabe von Versionen 5.6.0+ dazu f\u00fchren, dass alternative Implementierungen der Funktionalit\u00e4t \u201eopenat2(RESOLVE_IN_ROOT)\u201c ausgeschlossen werden. <\/ul>\n