Microsoft ha pubblicato il primo aggiornamento stabile della nuova versione della distribuzione CBL-Mariner 2.0 (Common Base Linux Mariner), che si sviluppa come piattaforma di base universale per ambienti Linux utilizzati in infrastrutture cloud, sistemi edge e vari servizi Microsoft. Il progetto mira a unificare le soluzioni Linux utilizzate in Microsoft e semplificare la manutenzione dei sistemi Linux di vario tipo. I progressi del progetto sono distribuiti sotto licenza MIT. Le build dei pacchetti sono create per le architetture aarch64 e x86_64. <\/p>\n
Il nuovo rilascio \u00e8 noto per un significativo aggiornamento delle versioni dei programmi. In particolare, sono state aggiornate le versioni del kernel Linux 5.15 (nella versione 1.0 era utilizzato il kernel 5.4), systemd 250, glibc 2.35, GCC 11.2, clang 12, Python 3.9, ruby 3.1.2, rpm 4.17, qemu 6.1, perl 5.34, ostree 2022.1. Il repository di base include componenti per la creazione di interfacce grafiche, come Wayland 1.20, Mesa 21.0, GTK 3.24 e X.Org Server 1.20.10, che erano precedentemente forniti in un repository separato coreui. Sono state aggiunte build del kernel con patch PREEMPT_RT per l'uso in sistemi che operano in tempo reale. <\/p>\n
La distribuzione CBL-Mariner offre un piccolo insieme standard di pacchetti di base, che fungono da fondamento universale per la creazione di contenuti per container, ambienti host e servizi eseguiti in infrastrutture cloud e su dispositivi edge. Soluzioni pi\u00f9 complesse e specializzate possono essere create aggiungendo pacchetti aggiuntivi su CBL-Mariner, ma la base per tutti questi sistemi rimane invariata, semplificando la manutenzione e la preparazione degli aggiornamenti. Ad esempio, CBL-Mariner viene utilizzato come base per una mini-distribuzione WSLg, in cui sono forniti componenti dello stack grafico per eseguire applicazioni GUI Linux in ambienti basati sul sottosistema WSL2 (Windows Subsystem for Linux). La funzionalit\u00e0 avanzata in WSLg viene implementata tramite l'inclusione di pacchetti aggiuntivi con la composizione. server<\/a> Weston, XWayland, PulseAudio e FreeRDP. <\/p>\n Il sistema di build CBL-Mariner consente di generare sia pacchetti RPM separati basati su file SPEC e sorgenti, sia immagini di sistema monolitiche, create utilizzando l'utility rpm-ostree e aggiornate in modo atomico senza frammentazione in pacchetti separati. Pertanto, sono supportati due modelli di distribuzione degli aggiornamenti: tramite l'aggiornamento di pacchetti singoli e tramite la ricostruzione e l'aggiornamento dell'intera immagine di sistema. \u00c8 disponibile un repository che include circa 3000 pacchetti RPM gi\u00e0 compilati, che pu\u00f2 essere utilizzato per comporre le proprie immagini basate su un file di configurazione. <\/p>\n La distribuzione include solo i componenti essenziali ed \u00e8 ottimizzata per un consumo minimo di memoria e spazio su disco, oltre a garantire un'elevata velocit\u00e0 di avvio. La distribuzione si distingue anche per l'integrazione di diversi meccanismi aggiuntivi per migliorare la sicurezza. Nel progetto viene adottato un approccio di 'massima sicurezza per impostazione predefinita'. \u00c8 fornita la possibilit\u00e0 di filtrare le chiamate di sistema tramite il meccanismo seccomp, di crittografare le partizioni del disco e di verificare i pacchetti attraverso la firma digitale. <\/p>\n Sono stati attivati i modi di randomizzazione dello spazio degli indirizzi supportati nel kernel Linux, cos\u00ec come meccanismi di protezione contro attacchi legati ai collegamenti simbolici, mmap, \/dev\/mem e \/dev\/kmem. Per le aree di memoria che ospitano segmenti con dati del kernel e dei moduli, \u00e8 stato impostato un modo di sola lettura e l'esecuzione del codice \u00e8 vietata. \u00c8 disponibile opzionalmente la possibilit\u00e0 di vietare il caricamento dei moduli del kernel dopo l'inizializzazione del sistema. Per il filtraggio dei pacchetti di rete \u00e8 stato utilizzato lo strumento iptables. Durante la fase di compilazione, sono stati attivati di default i modi di protezione contro il overflow dello stack, i buffer overflow e i problemi con il formattazione delle stringhe (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro). <\/p>\n