Bubblewrap 0.6-ის გამოშვება, ფენა იზოლირებული გარემოს შესაქმნელად

ხელმისაწვდომია ინსტრუმენტების გამოშვება იზოლირებულ გარემოში მუშაობის ორგანიზებისთვის Bubblewrap 0.6, რომელიც ჩვეულებრივ გამოიყენება არაპრივილეგირებული მომხმარებლების ინდივიდუალური აპლიკაციების შესაზღუდად. პრაქტიკაში, Bubblewrap გამოიყენება Flatpak პროექტის მიერ, როგორც ფენა პაკეტებიდან გაშვებული აპლიკაციების იზოლირებისთვის. პროექტის კოდი დაწერილია C-ში და ნაწილდება LGPLv2+ ლიცენზიით.

იზოლირებისთვის გამოიყენება Linux კონტეინერის ვირტუალიზაციის ტრადიციული ტექნოლოგიები, რომლებიც დაფუძნებულია cgroups, namespaces, Seccomp და SELinux-ის გამოყენებაზე. კონტეინერის კონფიგურაციისთვის პრივილეგირებული ოპერაციების შესასრულებლად, Bubblewrap იხსნება root უფლებებით (შესრულებადი ფაილი suid დროშით) და შემდეგ აღადგენს პრივილეგიებს კონტეინერის ინიციალიზაციის შემდეგ.

მომხმარებლის სახელთა სივრცის გააქტიურება სახელთა სივრცის სისტემაში, რომელიც საშუალებას გაძლევთ გამოიყენოთ საკუთარი ცალკეული იდენტიფიკატორების ნაკრები კონტეინერებში, არ არის საჭირო ოპერაციისთვის, რადგან ის არ მუშაობს ნაგულისხმევად ბევრ დისტრიბუციაში (Bubblewrap პოზიციონირებულია როგორც შეზღუდული suid განხორციელება. მომხმარებლის სახელთა სივრცის შესაძლებლობების ქვეჯგუფი - მომხმარებლის და პროცესის ყველა იდენტიფიკატორის გარემოდან გამოსარიცხად, გარდა ამჟამინდელისა, გამოიყენება CLONE_NEWUSER და CLONE_NEWPID რეჟიმები). დამატებითი დაცვისთვის, Bubblewrap-ის ქვეშ შესრულებული პროგრამები გაშვებულია PR_SET_NO_NEW_PRIVS რეჟიმში, რაც კრძალავს ახალი პრივილეგიების მიღებას, მაგალითად, თუ არსებობს setuid flag.

ფაილური სისტემის დონეზე იზოლაცია მიიღწევა ნაგულისხმევად ახალი სამონტაჟო სახელების სივრცის შექმნით, რომელშიც იქმნება ცარიელი root დანაყოფი tmpfs-ის გამოყენებით. საჭიროების შემთხვევაში, გარე FS ტიხრები მიმაგრებულია ამ დანაყოფზე „mount —bind“ რეჟიმში (მაგალითად, „bwrap —ro-bind /usr /usr“ ოფციით გაშვებისას, /usr დანაყოფი გადაგზავნილია ძირითადი სისტემიდან. მხოლოდ წაკითხვის რეჟიმში). ქსელის შესაძლებლობები შემოიფარგლება მარყუჟის ინტერფეისზე წვდომით ქსელის სტეკის იზოლაციით CLONE_NEWNET და CLONE_NEWUTS დროშებით.

მსგავსი Firejail პროექტისგან მთავარი განსხვავება, რომელიც ასევე იყენებს setuid გაშვების მოდელს, არის ის, რომ Bubblewrap-ში კონტეინერის შექმნის ფენა მოიცავს მხოლოდ აუცილებელ მინიმალურ შესაძლებლობებს და ყველა მოწინავე ფუნქციას, რომელიც აუცილებელია გრაფიკული აპლიკაციების გასაშვებად, დესკტოპთან ინტერაქციისა და ფილტრაციის მოთხოვნებისთვის. Pulseaudio-ზე, გადაეცა Flatpak მხარეს და შესრულებულია პრივილეგიების გადატვირთვის შემდეგ. მეორე მხრივ, Firejail აერთიანებს ყველა დაკავშირებულ ფუნქციას ერთ შესრულებად ფაილში, რაც ართულებს აუდიტს და უსაფრთხოების სათანადო დონეზე შენარჩუნებას.

ახალ გამოცემაში:

• დამატებულია მხარდაჭერა Meson ასამბლეის სისტემისთვის. Autotools-ით აშენების მხარდაჭერა ამ დროისთვის შენარჩუნებულია, მაგრამ წაიშლება მომავალ გამოშვებაში.
• განხორციელდა "--add-seccomp" ვარიანტი ერთზე მეტი seccomp პროგრამის დასამატებლად. დამატებულია გაფრთხილება, რომ თუ კვლავ მიუთითებთ "--seccomp" პარამეტრს, გამოყენებული იქნება მხოლოდ ბოლო პარამეტრი.
• სამაგისტრო ფილიალი git საცავში დაარქვეს მთავარს.
• დამატებულია ნაწილობრივი მხარდაჭერა REUSE სპეციფიკაციისთვის, რომელიც აერთიანებს ლიცენზიისა და საავტორო უფლებების ინფორმაციის მითითების პროცესს. კოდის ბევრ ფაილს დამატებულია SPDX-License-Identifier სათაურები. REUSE-ის მითითებების დაცვა აადვილებს ავტომატურად განსაზღვრას, თუ რომელი ლიცენზია ვრცელდება განაცხადის კოდის რომელ ნაწილებზე.
• დაემატა ბრძანების ხაზის არგუმენტის მრიცხველის მნიშვნელობის შემოწმება (argc) და განხორციელდა გადაუდებელი გასასვლელი, თუ მრიცხველი ნულის ტოლია. ცვლილება ხელს უწყობს უსაფრთხოების საკითხების დაბლოკვას, რომლებიც გამოწვეულია ბრძანების ხაზის არგუმენტების არასწორი დამუშავებით, როგორიცაა CVE-2021-4034 Polkit-ში.

წყარო: opennet.ru