Canonical ha annunciato modifiche in Ubuntu 23.10 che limiteranno l'accesso degli utenti agli spazi dei nomi degli identificatori utente (user namespace), aumentando così la sicurezza dei sistemi che utilizzano l'isolamento dei contenitori contro le vulnerabilità che richiedono manipolazioni degli user namespace. Secondo Google, il 44% degli exploit partecipanti al programma di ricompense per la scoperta di vulnerabilità nel kernel Linux richiede la possibilità di creare spazi dei nomi identificatori utente.
Invece di una completa chiusura dell'accesso agli user namespace, Ubuntu ha adottato uno schema ibrido, consentendo selettivamente a determinate applicazioni di creare user namespace in presenza di un profilo AppArmor con la regola "allow userns create" o del diritto CAP_SYS_ADMIN. Ad esempio, per Chrome è stato creato il profilo /etc/apparmor.d/opt.google.chrome.chrome, che può essere utilizzato come esempio per aprire l'accesso agli user namespace per altre applicazioni.
Nella prossima versione di Ubuntu 23.10, la limitazione dell'accesso agli user namespace sarà proposta come opzione disabilitata di default. Nelle settimane successive al rilascio di Ubuntu 23.10, gli sviluppatori raccoglieranno dati sull'impatto negativo potenziale della disattivazione dell'accesso agli user namespace sul funzionamento dei pacchetti e prepareranno i relativi profili AppArmor. Successivamente, in uno degli aggiornamenti correttivi del pacchetto del kernel (Stable Release Updates), la limitazione sarà attivata di default.
Per attivare anticipatamente la limitazione, è possibile utilizzare i comandi: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
E per disattivarla: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Fonte: opennet.ru
