{"id":110711,"date":"2023-10-10T03:10:26","date_gmt":"2023-10-10T01:10:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ubuntu-ogranichit-dostup-k-user-namespace"},"modified":"2023-10-10T03:10:26","modified_gmt":"2023-10-10T01:10:26","slug":"ubuntu-ogranichit-dostup-k-user-namespace","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/ubuntu-ogranichit-dostup-k-user-namespace","title":{"rendered":"Ubuntu limiter\u00e0 l'accesso al namespace utente.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Canonical ha annunciato modifiche in Ubuntu 23.10 che limiteranno l'accesso degli utenti agli spazi dei nomi degli identificatori utente (user namespace), aumentando cos\u00ec la sicurezza dei sistemi che utilizzano l'isolamento dei contenitori contro le vulnerabilit\u00e0 che richiedono manipolazioni degli user namespace. Secondo Google, il 44% degli exploit partecipanti al programma di ricompense per la scoperta di vulnerabilit\u00e0 nel kernel Linux richiede la possibilit\u00e0 di creare spazi dei nomi identificatori utente. <\/p>\n
Invece di una completa restrizione dell'accesso al user namespace in Ubuntu, \u00e8 stata adottata una soluzione ibrida, che consente ad alcune applicazioni di creare un user namespace se hanno un profilo AppArmor con la regola «allow userns create» o i permessi CAP_SYS_ADMIN. Ad esempio, per Chrome \u00e8 stato creato un profilo in \/etc\/apparmor.d\/opt.google.chrome.chrome, che pu\u00f2 essere utilizzato come esempio per concedere accesso al user namespace ad altre applicazioni. <\/p>\n
Nella prossima versione di Ubuntu 23.10, la limitazione dell'accesso agli user namespace sar\u00e0 proposta come opzione disabilitata di default. Nelle settimane successive al rilascio di Ubuntu 23.10, gli sviluppatori raccoglieranno dati sull'impatto negativo potenziale della disattivazione dell'accesso agli user namespace sul funzionamento dei pacchetti e prepareranno i relativi profili AppArmor. Successivamente, in uno degli aggiornamenti correttivi del pacchetto del kernel (Stable Release Updates), la limitazione sar\u00e0 attivata di default. <\/p>\n
Per attivare anticipatamente la limitazione, \u00e8 possibile utilizzare i comandi: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1 <\/p>\n