{"id":183160,"date":"2026-08-27T22:53:24","date_gmt":"2026-08-27T20:53:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-bubblewrap-0-12-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2026-08-27T22:53:29","modified_gmt":"2026-08-27T20:53:29","slug":"bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","title":{"rendered":"Uscita di Bubblewrap 0.12, uno strato per creare ambienti isolati","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata pubblicata una nuova versione dello strumento Bubblewrap 0.12 per l'organizzazione del lavoro in ambienti isolati, utilizzato per limitare applicazioni specifiche da parte di utenti non privilegiati. In pratica, Bubblewrap \u00e8 utilizzato dal progetto Flatpak come strato di isolamento per le applicazioni avviate dai pacchetti. Per l'isolamento vengono utilizzate le tecnologie tradizionali di virtualizzazione dei container tipiche di Linux, basate sull'uso di cgroups, spazi dei nomi (namespaces), Seccomp e SELinux. Il codice del progetto \u00e8 scritto in C e distribuito sotto licenza LGPLv2.1+. <\/p>\n
L'isolamento a livello di file system avviene tramite la creazione di default di un nuovo spazio dei nomi per i punti di montaggio (mount namespace), nel quale viene creato, utilizzando tmpfs, un partizionamento radice vuoto. In questo partizionamento, se necessario, vengono montate partizioni di file system esterne in modalit\u00e0 «mount —bind» (ad esempio, al lancio con l'opzione «bwrap —ro-bind \/usr \/usr», la partizione \/usr \u00e8 passata dal sistema principale in modalit\u00e0 di sola lettura). Le capacit\u00e0 di rete sono limitate all'accesso all'interfaccia loopback con isolamento dello stack di rete tramite i flag CLONE_NEWNET e CLONE_NEWUTS. <\/p>\n
Per escludere tutti gli identificatori utente e processo non necessari dall'ambiente isolato creato, possono essere utilizzati i modi CLONE_NEWUSER (user namespace) e CLONE_NEWPID (PID namespace), e per vietare il conseguimento di nuovi privilegi viene utilizzata la modalit\u00e0 PR_SET_NO_NEW_PRIVS. Per ottenere i privilegi necessari si utilizza il «user namespace». <\/p>\n
Nel nuovo rilascio: <\/p>\n
\n
La licenza del codice \u00e8 stata cambiata da LGPL 2.0+ a LGPL 2.1+.\n
\u00c8 stata interrotta la supporto per la creazione di file eseguibili che ottengono privilegi aggiuntivi tramite il flag suid root. \u00c8 ora obbligatoria la presenza del supporto per il «user namespace» nel sistema. La ragione addotta \u00e8 la complessit\u00e0 della manutenzione della variante con il flag suid, dato il supporto diffuso per il «user namespace» nelle distribuzioni.\n
\u00c8 stata aggiunta l'opzione «—not-a-security-boundary», attivando la quale alcuni errori durante la configurazione dell'ambiente sandbox isolato, come il rimontaggio di sottodirectory, non portano a un'uscita di emergenza.\n
\u00c8 stata aggiunta l'opzione di compilazione «assume_kernel», che disabilita il supporto per la retrocompatibilit\u00e0 con i kernel Linux pi\u00f9 vecchi della versione specificata. Ad esempio, specificare versioni 5.6.0+ porter\u00e0 all'esclusione di un'implementazione alternativa della funzionalit\u00e0 «openat2(RESOLVE_IN_ROOT)». <\/ul>\n