ການປ່ອຍ Bubblewrap 0.6, ຊັ້ນສໍາລັບການສ້າງສະພາບແວດລ້ອມທີ່ໂດດດ່ຽວ

ການປ່ອຍເຄື່ອງມືສໍາລັບການຈັດຕັ້ງການເຮັດວຽກຂອງສະພາບແວດລ້ອມທີ່ໂດດດ່ຽວ Bubblewrap 0.6 ແມ່ນມີຢູ່, ໂດຍປົກກະຕິແລ້ວແມ່ນໃຊ້ເພື່ອຈໍາກັດການນໍາໃຊ້ສ່ວນບຸກຄົນຂອງຜູ້ໃຊ້ທີ່ບໍ່ມີສິດທິພິເສດ. ໃນທາງປະຕິບັດ, Bubblewrap ຖືກນໍາໃຊ້ໂດຍໂຄງການ Flatpak ເປັນຊັ້ນເພື່ອແຍກແອັບພລິເຄຊັນທີ່ເປີດຕົວອອກຈາກແພັກເກັດ. ລະຫັດໂຄງການແມ່ນຂຽນເປັນ C ແລະຖືກແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ LGPLv2+.

ສໍາລັບການໂດດດ່ຽວ, ເທກໂນໂລຍີ virtualization container Linux ແບບດັ້ງເດີມແມ່ນຖືກນໍາໃຊ້, ອີງໃສ່ການນໍາໃຊ້ cgroups, namespaces, Seccomp ແລະ SELinux. ເພື່ອປະຕິບັດການດໍາເນີນການທີ່ມີສິດທິພິເສດໃນການກໍາຫນົດຄ່າບັນຈຸ, Bubblewrap ຖືກເປີດຕົວດ້ວຍສິດທິຂອງຮາກ (ໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ດ້ວຍທຸງ suid) ແລະຫຼັງຈາກນັ້ນຕັ້ງສິດທິພິເສດໃຫມ່ຫຼັງຈາກກ່ອງບັນຈຸຖືກເລີ່ມຕົ້ນ.

ການເປີດໃຊ້ namespaces ຜູ້ໃຊ້ໃນລະບົບ namespace, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານໃຊ້ຕົວກໍານົດການແຍກຕ່າງຫາກຂອງຕົນເອງໃນ containers, ແມ່ນບໍ່ຈໍາເປັນສໍາລັບການດໍາເນີນງານ, ເນື່ອງຈາກວ່າມັນບໍ່ເຮັດວຽກໂດຍຄ່າເລີ່ມຕົ້ນໃນຫຼາຍການແຈກຢາຍ (Bubblewrap ຖືກຈັດໃສ່ເປັນການປະຕິບັດ suid ຈໍາກັດຂອງ a. ຊຸດຍ່ອຍຂອງຄວາມສາມາດໃນການຕັ້ງຊື່ຜູ້ໃຊ້ - ເພື່ອຍົກເວັ້ນຕົວລະບຸຜູ້ໃຊ້ ແລະຂະບວນການທັງໝົດຈາກສະພາບແວດລ້ອມ, ຍົກເວັ້ນອັນປັດຈຸບັນ, ໂໝດ CLONE_NEWUSER ແລະ CLONE_NEWPID ຖືກໃຊ້). ສໍາລັບການປົກປ້ອງເພີ່ມເຕີມ, ໂປຣແກຣມທີ່ດໍາເນີນການພາຍໃຕ້ Bubblewrap ຈະຖືກເປີດຕົວໃນໂຫມດ PR_SET_NO_NEW_PRIVS, ເຊິ່ງຫ້າມການໄດ້ຮັບສິດທິພິເສດໃຫມ່, ຕົວຢ່າງ, ຖ້າມີທຸງ setuid.

ການໂດດດ່ຽວໃນລະດັບລະບົບໄຟລ໌ແມ່ນສໍາເລັດໂດຍການສ້າງ namespace mount ໃຫມ່ໂດຍຄ່າເລີ່ມຕົ້ນ, ໃນການແບ່ງປັນຮາກທີ່ຫວ່າງເປົ່າແມ່ນຖືກສ້າງຂຶ້ນໂດຍໃຊ້ tmpfs. ຖ້າຈໍາເປັນ, ການແບ່ງປັນ FS ພາຍນອກແມ່ນຕິດກັບພາທິຊັນນີ້ໃນໂຫມດ "mount —bind" (ຕົວຢ່າງ, ເມື່ອເປີດຕົວດ້ວຍຕົວເລືອກ "bwrap —ro-bind / usr / usr", / usr partition ຈະຖືກສົ່ງຕໍ່ຈາກລະບົບຕົ້ນຕໍ. ໃນ​ຮູບ​ແບບ​ການ​ອ່ານ​ເທົ່າ​ນັ້ນ​)​. ຄວາມສາມາດຂອງເຄືອຂ່າຍຖືກຈຳກັດໃຫ້ເຂົ້າເຖິງສ່ວນຕິດຕໍ່ loopback ດ້ວຍການໂດດດ່ຽວເຄືອຂ່າຍຜ່ານທຸງ CLONE_NEWNET ແລະ CLONE_NEWUTS.

ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນຈາກໂຄງການ Firejail ທີ່ຄ້າຍຄືກັນ, ເຊິ່ງຍັງໃຊ້ຮູບແບບການເປີດຕົວ setuid, ແມ່ນວ່າໃນ Bubblewrap ຊັ້ນການສ້າງຕູ້ຄອນເທນເນີປະກອບມີພຽງແຕ່ຄວາມສາມາດຂັ້ນຕ່ໍາທີ່ຈໍາເປັນ, ແລະຫນ້າທີ່ກ້າວຫນ້າທາງດ້ານທັງຫມົດທີ່ຈໍາເປັນສໍາລັບການແລ່ນຄໍາຮ້ອງສະຫມັກກາຟິກ, ການໂຕ້ຕອບກັບ desktop ແລະຄໍາຮ້ອງຂໍການກັ່ນຕອງ. ກັບ Pulseaudio, ໂອນໄປຫາຝ່າຍ Flatpak ແລະຖືກປະຕິບັດຫຼັງຈາກສິດທິພິເສດໄດ້ຖືກຕັ້ງຄືນໃຫມ່. ໃນທາງກົງກັນຂ້າມ, Firejail ລວມທຸກຫນ້າທີ່ທີ່ກ່ຽວຂ້ອງຢູ່ໃນໄຟລ໌ທີ່ປະຕິບັດໄດ້, ເຊິ່ງເຮັດໃຫ້ມັນຍາກທີ່ຈະກວດສອບແລະຮັກສາຄວາມປອດໄພໃນລະດັບທີ່ເຫມາະສົມ.

ໃນການປ່ອຍໃຫມ່:

• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບລະບົບການປະກອບ Meson. ການສະຫນັບສະຫນູນການກໍ່ສ້າງດ້ວຍ Autotools ໄດ້ຖືກຮັກສາໄວ້ສໍາລັບໃນປັດຈຸບັນ, ແຕ່ຈະຖືກໂຍກຍ້າຍອອກໃນການປ່ອຍໃນອະນາຄົດ.
• ປະຕິບັດທາງເລືອກ "--add-seccomp" ເພື່ອເພີ່ມຫຼາຍກວ່າຫນຶ່ງໂຄງການ seccomp. ເພີ່ມຄໍາເຕືອນວ່າຖ້າທ່ານລະບຸທາງເລືອກ "--secomp" ອີກເທື່ອຫນຶ່ງ, ພຽງແຕ່ພາລາມິເຕີສຸດທ້າຍເທົ່ານັ້ນທີ່ຈະຖືກນໍາໃຊ້.
• ສາຂາຕົ້ນສະບັບໃນ git repository ໄດ້ຖືກປ່ຽນຊື່ເປັນຕົ້ນຕໍ.
• ເພີ່ມການສະຫນັບສະຫນູນບາງສ່ວນສໍາລັບຂໍ້ກໍານົດ REUSE, ເຊິ່ງເຮັດໃຫ້ຂະບວນການກໍານົດໃບອະນຸຍາດແລະຂໍ້ມູນລິຂະສິດເປັນອັນດຽວກັນ. ໄຟລ໌ລະຫັດຈໍານວນຫຼາຍມີການເພີ່ມສ່ວນຫົວ SPDX-License-Identifier. ການປະຕິບັດຕາມຄໍາແນະນໍາ REUSE ເຮັດໃຫ້ມັນງ່າຍຂຶ້ນທີ່ຈະກໍານົດອັດຕະໂນມັດວ່າໃບອະນຸຍາດນໍາໃຊ້ກັບພາກສ່ວນໃດຂອງລະຫັດຄໍາຮ້ອງສະຫມັກ.
• ເພີ່ມການກວດສອບມູນຄ່າຂອງຕົວນັບໂຕ້ແຍ້ງແຖວຄໍາສັ່ງ (argc) ແລະປະຕິບັດການອອກສຸກເສີນຖ້າຕົວນັບເປັນສູນ. ການປ່ຽນແປງຊ່ວຍສະກັດກັ້ນບັນຫາຄວາມປອດໄພທີ່ເກີດຈາກການຈັດການທີ່ບໍ່ຖືກຕ້ອງຂອງການໂຕ້ຖຽງເສັ້ນຄໍາສັ່ງທີ່ຜ່ານ, ເຊັ່ນ CVE-2021-4034 ໃນ Polkit.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru