Firejail rakenduse isoleerimise versiooni 0.9.60 väljalase

Tuli välja projekti väljalaskmine Firejail 0.9.60, mille raames areneb süsteem isoleeritud käivitamiseks graafika-, konsooli- ja serverirakendustele. Firejail'i kasutamine vähendab põhissüsteemi kompromiteerimise riski, kui käivitada usaldamatuid või potentsiaalselt haavatavaid programme. Programm on kirjutatud C keeles, levitatakse GPLv2 litsentsi all ja võib töötada igas Linuxi jaotuses, mille tuum on vanem kui 3.0. Firejail'i valmis paketid valmistatud debian (Debian, Ubuntu) ja rpm (CentOS, Fedora) formaatides.

Firejail'i isolatsiooniks kasutatakse nimedeid (namespaces), AppArmor ja süsteemikutse filtreerimine (seccomp-bpf) Linuxis. Pärast käivitamist kasutab programm ja kõik selle alaprotsessid eraldi tuumaressursside vaateid, nagu võrguülesanne, protsesside tabel ja mount-punktid. Omavahel seotud rakendusi saab ühendada ühte ühisesse sandboxi. Soovi korral saab Firejail't kasutada ka Docker, LXC ja OpenVZ konteinerite käivitamiseks.

Erinevalt konteinerite isolatsiooni vahenditest on firejail äärmiselt lihtne konfiguratsioonis ning ei vaja süsteemipildi ettevalmistamist — konteineri koostise moodustamine toimub reaalajas, tuginedes praeguse FS sisu ja see kustutatakse pärast rakenduse lõpetamist. Pakutakse paindlikke vahendeid failisüsteemist juurde pääsemise reeglite määramiseks, saab määrata, millistele failidele ja kataloogidele on juurdepääs lubatud või keelatud, andmete jaoks saab ühenduda ajutiste FS-idega (tmpfs), piirata juurdepääsu failidele või kataloogidele ainult lugemiseks, siduda katalooge bind-mount ja overlayfs kaudu.

Paljude populaarsete rakenduste, sealhulgas Firefoxi, Chromiumi, VLC ja Transmission, jaoks on ette valmistatud valmis isoleerimise profiilid süsteemikutsete isolatsiooni. Rakenduse töötamiseks isolatsioonirežiimis piisab, kui märkida rakenduse nimi utiliidi firejail argumendina, näiteks „firejail firefox” või „sudo firejail /etc/init.d/nginx start”.

Uues väljaandes:

• On kõrvaldatud haavatavus, mis võimaldas kahjuliku protsessil mööda minna süsteemikutsete filtreerimise mehhanismist. Haavatavuse olemus seisneb selles, et Seccomp filtrid koopiad salvestatakse kausta /run/firejail/mnt, mis on kirjutamiseks avatud isoleeritud keskkonnas. Isolatsioonirežiimis käivitatud kahjulikud protsessid saavad muuta neid faile, mis toob kaasa selle, et samas keskkonnas käivitatud uued protsessid viiakse ellu ilma süsteemikutsete filtrit rakendamata;
• memory-deny-write-execute filtris on tagatud „memfd_create” kutsumise blokeerimine;
• Lisatud uus valik „private-cwd” jaili töökausta muutmiseks;
• Lisatud valik „--nodbus” D-Bus pistikute blokeerimiseks;
• Tagasi on toodud CentOS 6 tugi;
• Lõpetatud pakettide toimetamisel formaatides flatpak ja snap.
  On märgitud, et nende pakettide jaoks tuleks kasutada nende enda tööriistu;
• Lisatud uued profiilid 87 täiendava rakenduse isolatsiooniks, sealhulgas mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp ja cantata.

Allikas: opennet.ru