A Canonical bejelentette, hogy az Ubuntu 23.10 verziójában változtatásokat hajtanak végre, amelyek korlátozzák a felhasználók hozzáférését a felhasználói névtérhez (user namespace), ezzel növelve a konténerizált rendszerek védelmét a sebezhetőségekkel szemben, amelyek kihasználásához szükséges a felhasználói névtér manipulálása. A Google adatai szerint a Linux kernel sebezhetőségeihez kapcsolódó jutalmak programjában a 44%-os exploitok megkövetelik a felhasználói névtér létrehozásának lehetőségét.
Az Ubuntu nem blokkolja teljesen a felhasználói névtérhez való hozzáférést, hanem hibrid megoldást alkalmaz, amely kiválasztott programok számára engedélyezi a felhasználói névtér létrehozását, ha rendelkeznek „allow userns create” szabályú AppArmor profillal vagy CAP_SYS_ADMIN jogosultsággal. Például a Chrome esetében létrejött egy profil a /etc/apparmor.d/opt.google.chrome.chrome fájlban, amely példa lehet más programok számára a felhasználói névtérhez való hozzáférés megnyitásához.
Az Ubuntu 23.10 következő verziójában a felhasználói névtérhez való hozzáférés korlátozását opcióként szeretnék felajánlani, amely alapértelmezés szerint nincs engedélyezve. Az Ubuntu 23.10 kiadása után néhány héten belül a fejlesztők összegyűjtik az adatokat arról, hogy a felhasználói névtérhez való hozzáférés letiltása milyen negatív hatással lehet a csomagok működésére, és elkészítik a megfelelő AppArmor profilt. Ezután a kernel csomag (Stabil Kiadási Frissítések) egy javító frissítésében az alapértelmezett beállítás aktiválásra kerül.
A korai korlátozás aktiválásához a következő parancsokat használhatja: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
A letiltáshoz: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Forrás: opennet.ru
