{"id":110711,"date":"2023-10-10T03:10:26","date_gmt":"2023-10-10T01:10:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ubuntu-ogranichit-dostup-k-user-namespace"},"modified":"2023-10-10T03:10:26","modified_gmt":"2023-10-10T01:10:26","slug":"ubuntu-ogranichit-dostup-k-user-namespace","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/ubuntu-ogranichit-dostup-k-user-namespace","title":{"rendered":"Ubuntu va restreindre l'acc\u00e8s aux espaces de noms utilisateurs","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La soci\u00e9t\u00e9 Canonical a annonc\u00e9 des changements dans Ubuntu 23.10 qui limitent l'acc\u00e8s des utilisateurs aux espaces de noms d'identifiants utilisateur (user namespace), permettant ainsi d'am\u00e9liorer la s\u00e9curit\u00e9 des syst\u00e8mes utilisant l'isolation par conteneurs contre les vuln\u00e9rabilit\u00e9s n\u00e9cessitant des manipulations avec le user namespace. Selon Google, 44 % des exploits impliqu\u00e9s dans le programme de r\u00e9compenses pour la d\u00e9couverte de vuln\u00e9rabilit\u00e9s dans le noyau Linux n\u00e9cessitent la possibilit\u00e9 de cr\u00e9er des espaces de noms d'identifiants utilisateur. <\/p>\n
Au lieu d'un blocage complet de l'acc\u00e8s \u00e0 l'espace utilisateur dans Ubuntu, un sch\u00e9ma hybride a \u00e9t\u00e9 mis en \u0153uvre, permettant \u00e0 certaines applications de cr\u00e9er des espaces utilisateurs si elles disposent d'un profil AppArmor avec la r\u00e8gle \u00ab allow userns create \u00bb ou du droit CAP_SYS_ADMIN. Par exemple, un profil a \u00e9t\u00e9 cr\u00e9\u00e9 pour Chrome dans \"\/etc\/apparmor.d\/opt.google.chrome.chrome\", qui peut servir d'exemple pour ouvrir l'acc\u00e8s \u00e0 l'espace utilisateur pour d'autres applications. <\/p>\n
Dans la prochaine version d'Ubuntu 23.10, la limitation de l'acc\u00e8s au user namespace sera propos\u00e9e comme une option non activ\u00e9e par d\u00e9faut. Pendant quelques semaines apr\u00e8s la sortie d'Ubuntu 23.10, les d\u00e9veloppeurs collecteront des informations sur l'impact potentiel n\u00e9gatif de la d\u00e9sactivation de l'acc\u00e8s au user namespace sur le fonctionnement des paquets, et pr\u00e9pareront les profils AppArmor correspondants. Ensuite, lors d'une des mises \u00e0 jour correctives du paquet noyau (Stable Release Updates), cette restriction sera activ\u00e9e par d\u00e9faut. <\/p>\n
Pour activer pr\u00e9matur\u00e9ment la restriction, vous pouvez utiliser les commandes : sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1 <\/p>\n