A Microsoft közzétette a CBL-Mariner 1.0.20210901 disztribúció frissítését (Common Base Linux Mariner), amely egy általános alapplatformként fejlődik a felhőinfrastruktúrákban, edge-rendszerekben és különféle Microsoft szolgáltatásokban használt Linux környezetek számára. A projekt célja az alkalmazott Linux megoldások egységesítése a Microsoftnál, valamint a különböző célú Linux rendszerek aktuális állapotban tartásának egyszerűsítése. A projekt eredményeit MIT licenc alatt terjesztik.
Az új kiadásban:
- Megkezdődött az alap iso-kép (700 MB) kialakítása. Az első kiadásban nem álltak rendelkezésre kész ISO-képek, arra számítottak, hogy a felhasználó maga létrehozhatja a szükséges tartalmú képet (a build útmutatók az Ubuntu 18.04-hez készültek).
- Megvalósult a csomagok automatikus frissítésének támogatása, ehhez a Dnf-Automatic alkalmazás került beépítésre.
- A Linux kernel frissítve lett a 5.10.60.1 verzióra. Frissültek a programverziók, többek között openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
- Az OpenSSL-ben lehetőség nyílt a TLS 1 és TLS 1.1 támogatásának visszaállítására.
- A forráskódok ellenőrzéséhez a sha256sum eszközt használták.
- Új csomagok kerültek be: etcd-tools, cockpit, aide, fipscheck, tini.
- Eltávolításra kerültek a brp-strip-debug-symbols, brp-strip-unneeded és ca-legacy csomagok. Eltávolították a SPEC fájlokat a Dotnet és aspnetcore csomagokhoz, amelyeket most a .NET fejlesztőcsapat főként készít, és egy külön tárolóban helyeznek el.
- A használt csomagverziókba kerültek át a sebezhetőségeket javító módosítások.
Emlékezzünk, hogy a CBL-Mariner disztribúció egy kis alapcsomag-készletet kínál, amely univerzális alapként szolgál konténerek, hosztkörnyezetek és felhőinfrastruktúrákon futó szolgáltatások létrehozásához, valamint edge-eszközökön történő üzemeltetéséhez. Bonyolultabb és specializáltabb megoldások építhetők a CBL-Mariner fölé további csomagok hozzáadásával, de minden ilyen rendszer alapja változatlan marad, ami megkönnyíti a karbantartást és a frissítések előkészítését. Például a CBL-Mariner alapjául szolgál a WSLg mini-disztribúciónak, amely a grafikus stack elemeit biztosítja Linux GUI-alkalmazások indításához a WSL2 (Windows Subsystem for Linux) alapú környezetekben. A WSLg kiterjesztett funkcionalitása további csomagok integrálásával valósul meg. szerverrel Weston, XWayland, PulseAudio és FreeRDP.
A CBL-Mariner build system allows for generating both individual RPM packages based on SPEC files and source texts, as well as monolithic system images created using the rpm-ostree tool, which can be updated atomically without being split into separate packages. Accordingly, two update delivery models are supported: via individual package updates and through the reconstruction and update of the entire system image. A repository is available that includes about 3000 already built RPM packages, which can be used to assemble custom images based on a configuration file.
The distribution includes only the most essential components and is optimized for minimal memory and disk space consumption, as well as for fast booting speed. The distribution is also notable for including various additional mechanisms to enhance security. The project employs a "maximum security by default" approach. It provides the ability to filter system calls using the seccomp mechanism, encrypt disk partitions, and verify packages through digital signatures.
Supported kernel modes for address space randomization are activated in Linux, along with mechanisms to protect against attacks related to symbolic links, mmap, /dev/mem, and /dev/kmem. For memory areas that hold segments with kernel data and modules, a read-only mode is established, and code execution is prohibited. Optionally, the ability to prevent loading kernel modules after system initialization is available. The iptables toolkit is used for filtering network packets. By default, during the build stage, modes for protection against stack overflow, buffer overflows, and string formatting issues (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) are enabled.
A szolgáltatások és az indítás kezelésére a systemd rendszerkezelőt használják. A csomagkezeléshez RPM és DNF (vmWare tdnf verziója) csomagkezelők állnak rendelkezésre. Az SSH-szerver alapértelmezés szerint nincs engedélyezve. A disztribúció telepítésére telepítőprogram áll rendelkezésre, amely szöveges és grafikus módban is működhet. A telepítőben lehetőség van teljes vagy alapcsomag-készlet telepítésére, valamint felhasználói név és lemezmegosztás kiválasztási felületét is biztosítja.
Forrás: opennet.ru
