L'azienda Canonical ha annunciato modifiche in Ubuntu 23.10 che limitano l'accesso degli utenti agli spazi dei nomi degli identificatori utente (user namespace), il che aumenterà la sicurezza dei sistemi che utilizzano l'isolamento dei container contro le vulnerabilità che richiedono manipolazioni con il user namespace. Secondo Google, il 44% degli exploit partecipanti al programma di ricompense per la scoperta di vulnerabilità nel kernel Linux richiede la possibilità di creare spazi dei nomi degli identificatori utente.
Invece di una completa esclusione dell'accesso al user namespace in Ubuntu, è stata adottata una soluzione ibrida che consente a determinati programmi di creare user namespace se hanno un profilo AppArmor con la regola «allow userns create» o il permesso CAP_SYS_ADMIN. Ad esempio, per Chrome è stato creato un profilo /etc/apparmor.d/opt.google.chrome.chrome, che può essere utilizzato come esempio per aprire l'accesso al user namespace per altri programmi.
Nella prossima versione di Ubuntu 23.10, la limitazione dell'accesso al user namespace sarà proposta come un'opzione non abilitata di default. Nelle settimane successive al rilascio di Ubuntu 23.10, gli sviluppatori raccoglieranno informazioni sugli eventuali impatti negativi sulla funzionalità dei pacchetti derivanti dalla disattivazione dell'accesso al user namespace e prepareranno i relativi profili AppArmor. Successivamente, in uno dei futuri aggiornamenti correttivi del pacchetto kernel (Stable Release Updates), la limitazione sarà attivata di default.
Per attivare anticipatamente la limitazione, è possibile utilizzare i comandi: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
E per disattivarla: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Fonte: opennet.ru
