{"id":183160,"date":"2026-08-27T22:53:24","date_gmt":"2026-08-27T20:53:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-bubblewrap-0-12-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2026-08-27T22:53:29","modified_gmt":"2026-08-27T20:53:29","slug":"bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","title":{"rendered":"Sortie de Bubblewrap 0.12, une couche pour cr\u00e9er des environnements isol\u00e9s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une nouvelle version de l'outil pour l'organisation de l'isolement des environnements, Bubblewrap 0.12, a \u00e9t\u00e9 publi\u00e9e. Elle est utilis\u00e9e pour restreindre certaines applications des utilisateurs non privil\u00e9gi\u00e9s. En pratique, Bubblewrap est employ\u00e9 par le projet Flatpak comme interm\u00e9diaire pour isoler les applications lanc\u00e9es \u00e0 partir de paquets. Pour l'isolement, des technologies traditionnelles de virtualisation par conteneurs, bas\u00e9es sur l'utilisation de cgroups, de namespaces, de Seccomp et de SELinux, sont utilis\u00e9es. Le code du projet est \u00e9crit en langage C et est distribu\u00e9 sous la licence LGPLv2.1+. <\/p>\n
L'isolement au niveau du syst\u00e8me de fichiers est r\u00e9alis\u00e9 par la cr\u00e9ation par d\u00e9faut d'un nouvel espace de noms de points de montage (mount namespace), dans lequel un r\u00e9pertoire racine vide est cr\u00e9\u00e9 \u00e0 l'aide de tmpfs. Dans ce r\u00e9pertoire, des partitions de syst\u00e8mes de fichiers externes peuvent \u00eatre mont\u00e9es en mode \u00ab mount \u2014bind \u00bb (par exemple, lors du lancement avec l'option \u00ab bwrap \u2014ro-bind \/usr \/usr \u00bb, la partition \/usr est transf\u00e9r\u00e9e du syst\u00e8me principal en mode lecture seule). Les fonctionnalit\u00e9s r\u00e9seau sont limit\u00e9es \u00e0 l'acc\u00e8s \u00e0 l'interface loopback avec isolation de la pile r\u00e9seau via les drapeaux CLONE_NEWNET et CLONE_NEWUTS. <\/p>\n
Pour exclure tous les identifiants d'utilisateurs et de processus superflus de l'environnement isol\u00e9 cr\u00e9\u00e9, les modes CLONE_NEWUSER (espace de noms utilisateur) et CLONE_NEWPID (espace de noms PID) peuvent \u00eatre utilis\u00e9s, et pour interdire l'obtention de nouveaux privil\u00e8ges, le mode PR_SET_NO_NEW_PRIVS est appliqu\u00e9. Pour obtenir les privil\u00e8ges n\u00e9cessaires, l'utilisation de \u00ab user namespace \u00bb est requise. <\/p>\n
Dans cette nouvelle version : <\/p>\n
\n
La licence du code a \u00e9t\u00e9 modifi\u00e9e de LGPL 2.0+ \u00e0 LGPL 2.1+.\n
La prise en charge de la compilation sous forme de fichier ex\u00e9cutable, qui obtient des privil\u00e8ges suppl\u00e9mentaires \u00e0 l'aide du drapeau suid root, a \u00e9t\u00e9 interrompue. La prise en charge de \u00ab user namespace \u00bb dans le syst\u00e8me est d\u00e9sormais obligatoire. Comme raison, on cite la complexit\u00e9 de la maintenance de la variante avec le drapeau suid, face \u00e0 la prise en charge g\u00e9n\u00e9ralis\u00e9e de \u00ab user namespace \u00bb dans les distributions.\n
L'option \u00ab --not-a-security-boundary \u00bb a \u00e9t\u00e9 ajout\u00e9e, permettant d'\u00e9viter que certains \u00e9checs lors de la configuration de l'environnement sandbox isol\u00e9, tels que le remontage de sous-syst\u00e8mes, ne provoquent un arr\u00eat d'urgence.\n
Une option de compilation \u00ab assume_kernel \u00bb a \u00e9t\u00e9 ajout\u00e9e, d\u00e9sactivant la prise en charge de la r\u00e9trocompatibilit\u00e9 avec les noyaux Linux plus anciens que la version sp\u00e9cifi\u00e9e. Par exemple, la sp\u00e9cification des versions 5.6.0+ entra\u00eenera l'exclusion d'une mise en \u0153uvre alternative de la fonctionnalit\u00e9 \u00ab openat2(RESOLVE_IN_ROOT) \u00bb. <\/ul>\n