{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Sortie du syst\u00e8me d'isolation d'applications Firejail 0.9.78","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version 0.9.78 du projet Firejail a \u00e9t\u00e9 publi\u00e9e, d\u00e9veloppant un syst\u00e8me pour l'ex\u00e9cution isol\u00e9e d'applications graphiques, en console et serveurs, permettant de minimiser le risque de compromission du syst\u00e8me principal lors de l'ex\u00e9cution de programmes peu fiables ou potentiellement vuln\u00e9rables. Le programme est \u00e9crit en C, distribu\u00e9 sous la licence GPLv2 et peut fonctionner sur n'importe quelle distribution Linux avec un noyau sup\u00e9rieur \u00e0 3.0. Des paquets pr\u00eats \u00e0 l'emploi pour Firejail sont disponibles au format deb (Debian, Ubuntu) et rpm (CentOS, Fedora). <\/p>\n
Pour l'isolement dans Firejail, des espaces de noms (namespaces), AppArmor et la filtration des appels syst\u00e8me (seccomp-bpf) dans Linux sont utilis\u00e9s. Apr\u00e8s son lancement, le programme et tous ses processus enfants utilisent des vues distinctes des ressources du noyau, telles que la pile r\u00e9seau, la table des processus et les points de montage. Les applications interconnect\u00e9es peuvent \u00eatre regroup\u00e9es dans un sandbox commun. Si souhait\u00e9, Firejail peut \u00e9galement \u00eatre utilis\u00e9 pour ex\u00e9cuter des conteneurs Docker, LXC et OpenVZ. <\/p>\n
Contrairement aux outils d'isolation des conteneurs, firejail est extr\u00eamement simple \u00e0 configurer et ne n\u00e9cessite pas de pr\u00e9paration d'image syst\u00e8me \u2014 le contenu du conteneur est constitu\u00e9 \u00e0 la vol\u00e9e \u00e0 partir du syst\u00e8me de fichiers actuel et est supprim\u00e9 apr\u00e8s la fermeture de l'application. Il offre des moyens flexibles de d\u00e9finir des r\u00e8gles d'acc\u00e8s au syst\u00e8me de fichiers, permettant de d\u00e9terminer quels fichiers et r\u00e9pertoires sont accessibles ou non, de monter des syst\u00e8mes de fichiers temporaires (tmpfs), de restreindre l'acc\u00e8s aux fichiers ou r\u00e9pertoires en mode lecture seule, et de combiner des r\u00e9pertoires via bind-mount et overlayfs. <\/p>\n
Pour de nombreuses applications populaires, y compris Firefox, Chromium, VLC et Transmission, des profils d'isolation des appels syst\u00e8me pr\u00eats \u00e0 l'emploi ont \u00e9t\u00e9 \u00e9labor\u00e9s. Pour obtenir les privil\u00e8ges n\u00e9cessaires \u00e0 la configuration d'un environnement isol\u00e9, le fichier ex\u00e9cutable firejail est install\u00e9 avec le drapeau SUID root (une fois initialis\u00e9s, les privil\u00e8ges sont annul\u00e9s). Il suffit de sp\u00e9cifier le nom de l'application comme argument de l'outil firejail pour ex\u00e9cuter le programme en mode isolation, par exemple, \u00abfirejail firefox\u00bb ou \u00absudo firejail \/etc\/init.d\/nginx start\u00bb. <\/p>\n
Dans cette nouvelle version : <\/p>\n
\n
Le fichier de configuration firejail.config a \u00e9t\u00e9 enrichi des options arg-max-count, arg-max-len, env-max-count et env-max-len pour modifier les limites du nombre et de la taille des options de ligne de commande et des variables d'environnement. Par d\u00e9faut, le nombre d'arguments est limit\u00e9 \u00e0 128, le nombre de variables d'environnement \u00e0 256, et la taille de chaque argument est de PATH_MAX depuis limits.h (en Linux 40196) + 32.\n
Une option \u00ab--xephyr-extra-params\u00bb a \u00e9t\u00e9 ajout\u00e9e pour d\u00e9finir des options suppl\u00e9mentaires pour Xephyr (utilis\u00e9 pour cr\u00e9er des environnements sandbox X11 avec son propre serveur X lanc\u00e9 dans une fen\u00eatre) sur la ligne de commande sans modifier firejail.config.\n
L'outil install\u00e9 dans l'environnement sandbox, bwrap (bubblewrap), a \u00e9t\u00e9 remplac\u00e9 par une couche fbwrap, qui ex\u00e9cute des programmes sans isolation afin de r\u00e9soudre les probl\u00e8mes de lancement de Firefox, Thunderbird, GIMP \u00e0 cause de l'appel de glycin 2.0.0 depuis gdk-pixbuf2 utilisant bwrap. Une option \u00ab--allow-bwrap\u00bb a \u00e9t\u00e9 ajout\u00e9e pour copier bwrap au lieu de la couche.\n
Les tables des appels syst\u00e8me pour seccomp ont \u00e9t\u00e9 mises \u00e0 jour. De nouveaux appels syst\u00e8me, tels que epoll_pwait2 et futex_wait, ont \u00e9t\u00e9 ajout\u00e9s.\n
L'option de construction \u00ab--disable-globalcfg\u00bb a \u00e9t\u00e9 supprim\u00e9e, le support d'overlayfs (\u00ab--overlay\u00bb) et du mode IDS (syst\u00e8me de d\u00e9tection d'intrusion, \u00ab--ids\u00bb) a \u00e9t\u00e9 arr\u00eat\u00e9.\n
Des profils d'isolation ont \u00e9t\u00e9 ajout\u00e9s pour l'\u00e9diteur de texte ne, le navigateur Trivalent et les moteurs de jeux OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.\n
Les profils pour thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave et hashcat ont \u00e9t\u00e9 mis \u00e0 jour. <\/ul>\n