Version Bubblewrap 0.6, un intermédiaire pour créer des environnements isolés.

La version de l'outil pour l'organisation du travail d'environnements isolés Bubblewrap 0.6 est disponible, généralement utilisée pour restreindre certaines applications pour les utilisateurs non privilégiés. En pratique, Bubblewrap est utilisé par le projet Flatpak comme couche d'isolation pour les applications exécutées à partir de paquets. Le code du projet est écrit en C et distribué sous la licence LGPLv2+.

L'isolation utilise des technologies de virtualisation de conteneurs traditionnelles pour Linux, basées sur l'utilisation de cgroups, d'espaces de noms (namespaces), de Seccomp et de SELinux. Pour effectuer des opérations privilégiées de configuration du conteneur, Bubblewrap est lancé avec les droits root (fichier exécutable avec le drapeau suid) et les privilèges sont ensuite réinitialisés après l'initialisation du conteneur.

L'activation dans le système d'espaces de noms d'identifiants d'utilisateur (user namespaces), permettant d'utiliser un ensemble distinct d'identifiants dans les conteneurs, n'est pas requise pour le fonctionnement, car par défaut, elle ne fonctionne pas sur de nombreuses distributions (Bubblewrap est positionné comme une implémentation suid limitée d'un sous-ensemble des fonctionnalités des espaces de noms d'utilisateurs — pour exclure tous les identifiants d'utilisateurs et de processus de l'environnement, sauf pour le courant, les modes CLONE_NEWUSER et CLONE_NEWPID sont utilisés). Pour une protection supplémentaire, les programmes exécutés sous Bubblewrap sont lancés en mode PR_SET_NO_NEW_PRIVS, interdisant l'acquisition de nouveaux privilèges, par exemple en cas de présence du drapeau setuid.

La principale distinction par rapport à un projet similaire

La distinction clé par rapport à un projet similaire, Firejail, qui utilise également un modèle de démarrage avec application de setuid, est que dans Bubblewrap, la couche de création de conteneurs n'inclut que le minimum requis de fonctionnalités, tandis que toutes les fonctions avancées nécessaires au lancement d'applications graphiques, à l'interaction avec le bureau et à la filtration des appels à Pulseaudio, sont transférées à Flatpak et exécutées après que les privilèges aient été réinitialisés. Firejail, quant à lui, regroupe toutes les fonctions associées dans un seul fichier exécutable, ce qui complique son audit et sa gestion de la sécurité.

Dans cette nouvelle version :

• Le support du système de build Meson a été ajouté. Le support de la construction via Autotools est toujours maintenu, mais sera supprimé dans l'une des prochaines versions.
• L'option « --add-seccomp » a été implémentée pour ajouter plus d'un programme seccomp. Un avertissement a été ajouté indiquant que si l'option « --seccomp » est spécifiée plusieurs fois, seul le dernier paramètre sera appliqué.
• La branche master du dépôt git a été renommée en main.
• Un support partiel de la spécification REUSE a été ajouté, unifiant le processus de spécification des informations sur les licences et les droits d'auteur. Des en-têtes SPDX-License-Identifier ont été ajoutés à de nombreux fichiers de code. Suivre les recommandations REUSE permet de simplifier la détermination automatique de la licence applicable à quelles parties du code de l'application.
• Une vérification de la valeur du compteur d'arguments de la ligne de commande (argc) a été ajoutée et une sortie d'urgence est assurée si le compteur est égal à zéro. Ce changement permet de bloquer les problèmes de sécurité causés par un traitement incorrect des arguments passer sur la ligne de commande, comme le CVE-2021-4034 dans Polkit.

Source : opennet.ru