{"id":183160,"date":"2026-08-27T22:53:24","date_gmt":"2026-08-27T20:53:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-bubblewrap-0-12-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2026-08-27T22:53:29","modified_gmt":"2026-08-27T20:53:29","slug":"bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","title":{"rendered":"Lanzamiento de Bubblewrap 0.12, una capa para crear entornos aislados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha publicado una nueva versi\u00f3n de la herramienta para organizar el trabajo en entornos aislados Bubblewrap 0.12, utilizada para limitar aplicaciones espec\u00edficas de usuarios no privilegiados. En la pr\u00e1ctica, Bubblewrap es usado por el proyecto Flatpak como una capa para aislar las aplicaciones que se ejecutan desde paquetes. Para el aislamiento se utilizan tecnolog\u00edas tradicionales de virtualizaci\u00f3n en contenedores de Linux, basadas en el uso de cgroups, espacios de nombres, Seccomp y SELinux. El c\u00f3digo del proyecto est\u00e1 escrito en lenguaje C y se distribuye bajo la licencia LGPLv2.1+. <\/p>\n
La aislamiento a nivel de sistema de archivos se realiza mediante la creaci\u00f3n por defecto de un nuevo espacio de nombres de puntos de montaje (mount namespace), en el que se crea una ra\u00edz vac\u00eda utilizando tmpfs. A este sistema se le pueden acoplar particiones de un sistema de archivos externo en modo 'mount --bind' (por ejemplo, al iniciar con la opci\u00f3n 'bwrap --ro-bind \/usr \/usr', el sistema \/usr se pasa desde el sistema principal en modo de solo lectura). Las capacidades de red se limitan al acceso a la interfaz loopback con aislamiento de la pila de red a trav\u00e9s de las banderas CLONE_NEWNET y CLONE_NEWUTS. <\/p>\n
Para excluir todos los identificadores de usuario y procesos innecesarios del entorno aislado que se est\u00e1 creando, se pueden utilizar los modos CLONE_NEWUSER (nombre de usuario) y CLONE_NEWPID (nombre de proceso). Para prohibir la obtenci\u00f3n de nuevos privilegios, se aplica el modo PR_SET_NO_NEW_PRIVS. Para obtener los privilegios necesarios se utiliza el \u00abnombre de usuario\u00bb. <\/p>\n
En esta nueva versi\u00f3n: <\/p>\n
\n
La licencia del c\u00f3digo se ha modificado de LGPL 2.0+ a LGPL 2.1+.\n
Se ha interrumpido el soporte para la compilaci\u00f3n en forma de archivo ejecutable que obtiene privilegios adicionales mediante la bandera suid root. La presencia de soporte para el \u00abnombre de usuario\u00bb en el sistema ahora es obligatoria. Como raz\u00f3n se menciona la complejidad del mantenimiento de la variante con la bandera suid frente al soporte generalizado del \u00abnombre de usuario\u00bb en las distribuciones.\n
Se ha a\u00f1adido la opci\u00f3n \u00ab--not-a-security-boundary\u00bb, al establecer la cual algunos fallos en la configuraci\u00f3n del entorno sandbox aislado, como el volver a montar la subzona, no provocan un fallo catastr\u00f3fico.\n
Se ha a\u00f1adido la opci\u00f3n de compilaci\u00f3n \u00abassume_kernel\u00bb, que desactiva el soporte de compatibilidad con n\u00facleos de Linux m\u00e1s antiguos que la versi\u00f3n especificada. Por ejemplo, especificar versiones 5.6.0+ dar\u00e1 como resultado la exclusi\u00f3n de la implementaci\u00f3n alternativa de la funcionalidad \u00abopenat2(RESOLVE_IN_ROOT)\u00bb. <\/ul>\n