{"id":110711,"date":"2023-10-10T03:10:26","date_gmt":"2023-10-10T01:10:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ubuntu-ogranichit-dostup-k-user-namespace"},"modified":"2023-10-10T03:10:26","modified_gmt":"2023-10-10T01:10:26","slug":"ubuntu-ogranichit-dostup-k-user-namespace","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/ubuntu-ogranichit-dostup-k-user-namespace","title":{"rendered":"Ubuntu limiter\u00e0 l'accesso allo user namespace","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda Canonical ha annunciato modifiche in Ubuntu 23.10 che limitano l'accesso degli utenti agli spazi dei nomi degli identificatori utente (user namespace), il che aumenter\u00e0 la sicurezza dei sistemi che utilizzano l'isolamento dei container contro le vulnerabilit\u00e0 che richiedono manipolazioni con il user namespace. Secondo Google, il 44% degli exploit partecipanti al programma di ricompense per la scoperta di vulnerabilit\u00e0 nel kernel Linux richiede la possibilit\u00e0 di creare spazi dei nomi degli identificatori utente. <\/p>\n
Invece di bloccare completamente l'accesso allo user namespace in Ubuntu, \u00e8 stata applicata una scheda ibrida che consente ad alcuni programmi di creare uno user namespace se hanno un profilo AppArmor con la regola \u00aballow userns create\u00bb o il permesso CAP_SYS_ADMIN. Ad esempio, per Chrome \u00e8 stato creato un profilo \/etc\/apparmor.d\/opt.google.chrome.chrome, che pu\u00f2 essere utilizzato come esempio per aprire l'accesso allo user namespace per altri programmi. <\/p>\n
Nella prossima versione di Ubuntu 23.10, la limitazione dell'accesso al user namespace sar\u00e0 proposta come un'opzione non abilitata di default. Nelle settimane successive al rilascio di Ubuntu 23.10, gli sviluppatori raccoglieranno informazioni sugli eventuali impatti negativi sulla funzionalit\u00e0 dei pacchetti derivanti dalla disattivazione dell'accesso al user namespace e prepareranno i relativi profili AppArmor. Successivamente, in uno dei futuri aggiornamenti correttivi del pacchetto kernel (Stable Release Updates), la limitazione sar\u00e0 attivata di default. <\/p>\n
Per attivare anticipatamente la limitazione, \u00e8 possibile utilizzare i comandi: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1 <\/p>\n