Tvrtka Canonical najavila je uvođenje promjena u Ubuntu 23.10 koje ograničavaju pristup korisnika prostorima imena identifikatora korisnika (user namespace), što će povećati sigurnost sustava koji koriste kontejnersku izolaciju od ranjivosti koje zahtijevaju manipulaciju user namespaceom. Prema podacima Googlea, 44% eksploita koji sudjeluju u programu nagrađivanja za otkrivanje ranjivosti u Linux kernelu zahtijeva mogućnost stvaranja prostora imena identifikatora korisnika.
Umjesto potpunog blokiranja pristupa user namespaceu, u Ubuntu je primijenjena hibridna shema koja nekim programima omogućuje stvaranje user namespacea uz prisustvo AppArmor profila s pravilom „allow userns create” ili prava CAP_SYS_ADMIN. Na primjer, za Chrome je stvoren profil /etc/apparmor.d/opt.google.chrome.chrome, koji se može koristiti kao primjer za otvaranje pristupa user namespaceu za druge programe.
U nadolazećem izdanju Ubuntu 23.10 planira se ponuditi ograničenje pristupa user namespaceu kao opcija koja nije uključena prema zadanim postavkama. Tijekom nekoliko tjedana nakon objavljivanja Ubuntu 23.10, razvojni tim prikupit će informacije o mogućim negativnim učincima isključivanja pristupa user namespaceu na rad paketa i pripremiti odgovarajuće AppArmor profile. Tada će u jednom od ispravnih ažuriranja paketa s kernelom (Stable Release Updates) ograničenje biti aktivirano prema zadanim postavkama.
Za prerano uključivanje ograničenja možete koristiti naredbe: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
A za isključivanje: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Izvor: opennet.ru
