{"id":183160,"date":"2026-08-27T22:53:24","date_gmt":"2026-08-27T20:53:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-bubblewrap-0-12-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2026-08-27T22:53:29","modified_gmt":"2026-08-27T20:53:29","slug":"bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","title":{"rendered":"Izdanje Bubblewrap 0.12, slojevi za kreiranje izoliranih okru\u017eenja","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Objavljena je nova verzija alata za organizaciju rada izoliranih okru\u017eenja Bubblewrap 0.12, koji se koristi za ograni\u010davanje pojedina\u010dnih aplikacija nedovoljno privilegiranih korisnika. U praksi se Bubblewrap koristi u projektu Flatpak kao sloj za izolaciju aplikacija pokretanih iz paketa. Za izolaciju se koriste tradicionalne tehnologije virtualizacije kontejnera specifi\u010dne za Linux, temeljene na kori\u0161tenju cgroups, prostora imena (namespaces), Seccomp i SELinux. Kod projekta napisan je u C jeziku i distribuira se pod LGPLv2.1+ licencom. <\/p>\n
Izolacija na razini datote\u010dnog sustava ostvaruje se stvaranjem po defaultu novog prostora imena to\u010daka montiranja (mount namespace), u kojem se putem tmpfs stvara prazan korijenski odjeljak. U taj odjeljak se po potrebi pri\u010dvr\u0161\u0107uju dijelovi vanjskog FS-a u re\u017eimu \u201emount \u2014bind\u201c (na primjer, prilikom pokretanja s opcijom \u201ebwrap \u2014ro-bind \/usr \/usr\u201c dijelovi \/usr se proslje\u0111uju iz glavnog sustava u re\u017eimu samo za \u010ditanje). Mre\u017ene mogu\u0107nosti se ograni\u010davaju pristupom loopback su\u010delju uz izolaciju mre\u017enog steka putem oznaka CLONE_NEWNET i CLONE_NEWUTS. <\/p>\n
Za isklju\u010divanje svih vi\u0161ka identifikatora korisnika i procesa iz kreiranog izoliranog okru\u017eenja mogu se koristiti na\u010dini CLONE_NEWUSER (user namespace) i CLONE_NEWPID (PID namespace), a za zabranu sticanja novih privilegija primenjuje se re\u017eim PR_SET_NO_NEW_PRIVS. Za sticanje potrebnih privilegija koristi se «user namespace». <\/p>\n
U novom izdanju: <\/p>\n
\n
Licenca za kod promijenjena je s LGPL 2.0+ na LGPL 2.1+.\n
Prekida se podr\u0161ka za izgradnju u obliku izvr\u0161nog fajla koji dobija dodatne privilegije pomo\u0107u suid root zastavice. Prisutnost podr\u0161ke za «user namespace» sada je obavezna u sistemu. Kao razlog navedena je slo\u017eenost odr\u017eavanja verzije sa suid zastavicom naspram sveprisutne podr\u0161ke za «user namespace» u distribucijama.\n
Dodana je opcija «—not-a-security-boundary», prilikom postavljanje koje neki problemi pri konfiguraciji izolovanog sandbox okru\u017eenja, poput ponovnog montiranja pododeljka, ne dovode do vanrednog zavr\u0161etka rada.\n
Dodana je opcija za izgradnju «assume_kernel», koja isklju\u010duje obezbe\u0111ivanje unazadne kompatibilnosti sa starijim Linux jezgrama od navedenog broja verzije. Na primer, odre\u0111ivanje verzija 5.6.0+ dovodi do isklju\u010divanja alternativne implementacije funkcionalnosti «openat2(RESOLVE_IN_ROOT)». <\/ul>\n