ការចេញផ្សាយ Bubblewrap 0.6 ដែលជាស្រទាប់សម្រាប់បង្កើតបរិស្ថានដាច់ដោយឡែក

ការចេញផ្សាយឧបករណ៍សម្រាប់រៀបចំការងារនៃបរិស្ថានដាច់ស្រយាល Bubblewrap 0.6 អាចប្រើបាន ដែលជាធម្មតាត្រូវបានប្រើប្រាស់ដើម្បីដាក់កម្រិតកម្មវិធីបុគ្គលរបស់អ្នកប្រើប្រាស់ដែលគ្មានសិទ្ធិ។ នៅក្នុងការអនុវត្ត Bubblewrap ត្រូវបានប្រើដោយគម្រោង Flatpak ជាស្រទាប់មួយដើម្បីញែកកម្មវិធីដែលបានចាប់ផ្តើមចេញពីកញ្ចប់។ កូដគម្រោងត្រូវបានសរសេរជា C ហើយត្រូវបានចែកចាយក្រោមអាជ្ញាប័ណ្ណ LGPLv2+ ។

សម្រាប់ភាពឯកោ បច្ចេកវិទ្យានិម្មិតកុងតឺន័រលីនុចប្រពៃណីត្រូវបានប្រើ ដោយផ្អែកលើការប្រើប្រាស់ cgroups, namespaces, Seccomp និង SELinux ។ ដើម្បីអនុវត្តប្រតិបត្តិការដែលមានសិទ្ធិដើម្បីកំណត់រចនាសម្ព័ន្ធកុងតឺន័រ Bubblewrap ត្រូវបានបើកដំណើរការដោយមានសិទ្ធិជា root (ឯកសារដែលអាចប្រតិបត្តិបានជាមួយនឹងទង់ suid) ហើយបន្ទាប់មកកំណត់សិទ្ធិឡើងវិញបន្ទាប់ពីកុងតឺន័រត្រូវបានចាប់ផ្តើម។

ការធ្វើឱ្យសកម្មនៃ namespaces អ្នកប្រើប្រាស់នៅក្នុងប្រព័ន្ធ namespace ដែលអនុញ្ញាតឱ្យអ្នកប្រើសំណុំដាច់ដោយឡែកផ្ទាល់ខ្លួនរបស់អ្នកនៃការកំណត់អត្តសញ្ញាណនៅក្នុងកុងតឺន័រ មិនត្រូវបានទាមទារសម្រាប់ប្រតិបត្តិការទេព្រោះវាមិនដំណើរការតាមលំនាំដើមក្នុងការចែកចាយជាច្រើន (Bubblewrap ត្រូវបានដាក់ជាការអនុវត្ត suid មានកំណត់នៃ a សំណុំរងនៃសមត្ថភាពឈ្មោះអ្នកប្រើប្រាស់ - ដើម្បីមិនរាប់បញ្ចូលអ្នកប្រើប្រាស់ និងដំណើរការកំណត់អត្តសញ្ញាណទាំងអស់ពីបរិស្ថាន លើកលែងតែមុខងារបច្ចុប្បន្ន CLONE_NEWUSER និង CLONE_NEWPID របៀបត្រូវបានប្រើ)។ សម្រាប់ការការពារបន្ថែម កម្មវិធីដែលត្រូវបានប្រតិបត្តិក្រោម Bubblewrap ត្រូវបានបើកដំណើរការនៅក្នុងរបៀប PR_SET_NO_NEW_PRIVS ដែលហាមឃាត់ការទទួលបានសិទ្ធិថ្មី ឧទាហរណ៍ ប្រសិនបើទង់ setuid មានវត្តមាន។

ភាពឯកោនៅកម្រិតប្រព័ន្ធឯកសារត្រូវបានសម្រេចដោយបង្កើត mount namespace ថ្មីតាមលំនាំដើម ដែលក្នុងនោះភាគថាស root ទទេត្រូវបានបង្កើតដោយប្រើ tmpfs ។ បើចាំបាច់ ភាគថាស FS ខាងក្រៅត្រូវបានភ្ជាប់ទៅភាគថាសនេះនៅក្នុងរបៀប "ម៉ោន -bind" (ឧទាហរណ៍ នៅពេលបើកដំណើរការជាមួយជម្រើស "bwrap —ro-bind /usr /usr" ភាគថាស /usr ត្រូវបានបញ្ជូនបន្តពីប្រព័ន្ធមេ។ នៅក្នុងរបៀបបានតែអាន)។ សមត្ថភាពបណ្តាញត្រូវបានកំណត់ចំពោះការចូលប្រើចំណុចប្រទាក់រង្វិលជុំជាមួយនឹងភាពឯកោជង់បណ្តាញតាមរយៈទង់ CLONE_NEWNET និង CLONE_NEWUTS ។

ភាពខុសគ្នាសំខាន់ពីគម្រោង Firejail ស្រដៀងគ្នាដែលប្រើគំរូចាប់ផ្តើម setuid គឺថានៅក្នុង Bubblewrap ស្រទាប់បង្កើតកុងតឺន័ររួមបញ្ចូលតែសមត្ថភាពអប្បបរមាចាំបាច់ និងមុខងារកម្រិតខ្ពស់ទាំងអស់ដែលចាំបាច់សម្រាប់ដំណើរការកម្មវិធីក្រាហ្វិក អន្តរកម្មជាមួយផ្ទៃតុ និងសំណើតម្រង។ ទៅ Pulseaudio ផ្ទេរទៅខាង Flatpak ហើយត្រូវបានប្រតិបត្តិបន្ទាប់ពីឯកសិទ្ធិត្រូវបានកំណត់ឡើងវិញ។ ម្យ៉ាងវិញទៀត Firejail រួមបញ្ចូលគ្នានូវមុខងារពាក់ព័ន្ធទាំងអស់នៅក្នុងឯកសារដែលអាចប្រតិបត្តិបានមួយ ដែលធ្វើឱ្យវាពិបាកក្នុងការធ្វើសវនកម្ម និងរក្សាសុវត្ថិភាពនៅកម្រិតត្រឹមត្រូវ។

នៅក្នុងការចេញផ្សាយថ្មី:

• Добавлена поддержка сборочной системы Meson. Поддержка сборки при помощи Autotools пока сохранена, но будет удалена в одном из следующих выпусков.
• Реализована опция «—add-seccomp» для добавления более чем одной программы seccomp. Добавлено предупреждение о том, что при повторном указании опции «—seccomp» будет применён только последний параметр.
• Ветка master в git-репозитории переименована в main.
• Добавлена частичная поддержка спецификации REUSE, унифицирующей процесс указания сведений о лицензиях и авторских правах. Во многие файлы с кодом добавлены заголовки SPDX-License-Identifier. Следование рекомендациям REUSE позволяет упростить автоматическое определение какая лицензия применяется к каким из частей кода приложения.
• Добавлена проверка значения счётчика аргументов командной строки (argc) и реализован экстренный выход в случае если счётчик равен нулю. Изменение позволяет блокировать проблемы с безопасностью, вызванные некорректной обработкой передаваемых аргументов командной строки, такие как CVE-2021-4034 в Polkit.

ប្រភព: opennet.ru