ะ ััะธะปะธัะต ะดะปั ะธะทะพะปะธัะพะฒะฐะฝะฝะพะณะพ ะฒัะฟะพะปะฝะตะฝะธั ะฟัะธะปะพะถะตะฝะธะน Firejail ะฒััะฒะปะตะฝะฐ ััะทะฒะธะผะพััั (CVE-2022-31214), ะฟะพะทะฒะพะปัััะฐั ะปะพะบะฐะปัะฝะพะผั ะฟะพะปัะทะพะฒะฐัะตะปั ะฟะพะปััะธัั ะฟัะฐะฒะฐ root ะฒ ะพัะฝะพะฒะฝะพะน ัะธััะตะผะต. ะ ะพัะบัััะพะผ ะดะพัััะฟะต ะธะผะตะตััั ัะฐะฑะพัะธะน ัะบัะฟะปะพะธั, ะฟัะพะฒะตัะตะฝะฝัะน ะฒ ะฐะบััะฐะปัะฝัั ะฒัะฟััะบะฐั openSUSE, Debian, Arch, Gentoo ะธ Fedora ั ัััะฐะฝะพะฒะปะตะฝะฝะพะน ััะธะปะธัะพะน firejail. ะัะพะฑะปะตะผะฐ ััััะฐะฝะตะฝะฐ ะฒ ะฒัะฟััะบะต firejail 0.9.70. ะ ะบะฐัะตััะฒะต ะพะฑั ะพะดะฝะพะณะพ ะฟััะธ ะทะฐัะธัั ะผะพะถะฝะพ ะฒัััะฐะฒะธัั ะฒ ะฝะฐัััะพะนะบะฐั (/etc/firejail/firejail.config) ะฟะฐัะฐะผะตััั ยซjoin noยป ะธ ยซforce-nonewprivs yesยป.
Firejail ะธัะฟะพะปัะทัะตั ะดะปั ะธะทะพะปััะธะธ ะผะตั ะฐะฝะธะทะผ ะฟัะพัััะฐะฝััะฒ ะธะผัะฝ (namespaces), AppArmor ะธ ัะธะปัััะฐัะธั ัะธััะตะผะฝัั ะฒัะทะพะฒะพะฒ (seccomp-bpf) ะฒ Linux, ะฝะพ ะดะปั ะฝะฐัััะพะนะบะธ ะธะทะพะปะธัะพะฒะฐะฝะฝะพะณะพ ะทะฐะฟััะบะฐ ััะตะฑัะตั ะฟะพะฒััะตะฝะฝัั ะฟัะธะฒะธะปะตะณะธะน, ะบะพัะพััะต ะฟะพะปััะฐะตั ัะตัะตะท ะฟัะธะฒัะทะบั ะบ ััะธะปะธัะต ัะปะฐะณะฐ suid root ะธะปะธ ะทะฐะฟััะบ ะฟัะธ ะฟะพะผะพัะธ sudo. ะฃัะทะฒะธะผะพััั ะฒัะทะฒะฐะฝะฐ ะพัะธะฑะบะพะน ะฒ ะปะพะณะธะบะต ัะฐะฑะพัั ะพะฟัะธะธ ยซโjoin=<PID>ยป, ะฟัะตะดะฝะฐะทะฝะฐัะตะฝะฝะพะน ะดะปั ะฟะพะดะบะปััะตะฝะธั ะบ ัะถะต ัะฐะฑะพัะฐััะตะผั ะธะทะพะปะธัะพะฒะฐะฝะฝะพะผั ะพะบััะถะตะฝะธั (ะฐะฝะฐะปะพะณ ะบะพะผะฐะฝะดั login ะดะปั sandbox-ะพะบััะถะตะฝะธั) ั ะพะฟัะตะดะตะปะตะฝะธะตะผ ะพะบััะถะตะฝะธั ะฟะพ ัะฐะฑะพัะฐััะตะผั ะฒ ะฝัะผ ะธะดะตะฝัะธัะธะบะฐัะพัั ะฟัะพัะตััะฐ. ะะฐ ััะฐะฟะต ะดะพ ัะฑัะพัะฐ ะฟัะธะฒะธะปะตะณะธะน firejail ะพะฟัะตะดะตะปัะตั ะฟัะธะฒะธะปะตะณะธะธ ัะบะฐะทะฐะฝะฝะพะณะพ ะฟัะพัะตััะฐ ะธ ะฟัะธะผะตะฝัะตั ะธั ะบ ะฝะพะฒะพะผั ะฟัะพัะตััั, ะฟะพะดะบะปััะฐะตะผะพะผั ะบ ะพะบััะถะตะฝะธั ะฟัะธ ะฟะพะผะพัะธ ะพะฟัะธะธ ยซโjoinยป.
ะะตัะตะด ะฟะพะดะบะปััะตะฝะธะตะผ ะพัััะตััะฒะปัะตััั ะฟัะพะฒะตัะบะฐ, ะทะฐะฟััะตะฝ ะปะธ ัะบะฐะทะฐะฝะฝัะน ะฟัะพัะตัั ะฒ ะพะบััะถะตะฝะธะธ firejail. ะะฐะฝะฝะฐั ะฟัะพะฒะตัะบะฐ ะพัะตะฝะธะฒะฐะตั ะฝะฐะปะธัะธะต ัะฐะนะปะฐ /run/firejail/mnt/join. ะะปั ัะบัะฟะปัะฐัะฐัะธะธ ััะทะฒะธะผะพััะธ ะฐัะฐะบัััะธะน ะผะพะถะตั ัะธะผัะปะธัะพะฒะฐัั ัะธะบัะธะฒะฝะพะต ะฝะต ะธะทะพะปะธัะพะฒะฐะฝะฝะพะต ะพะบััะถะตะฝะธะต firejail, ะธัะฟะพะปัะทัั ะฟัะพัััะฐะฝััะฒะพ ัะพัะตะบ ะผะพะฝัะธัะพะฒะฐะฝะธั (mount namespace), ะฟะพัะปะต ัะตะณะพ ะฟะพะดะบะปััะธัััั ะบ ะฝะตะผั ะฟัะธ ะฟะพะผะพัะธ ะพะฟัะธะธ ยซโjoinยป. ะัะปะธ ะฒ ะฝะฐัััะพะนะบะฐั ะฝะต ะฐะบัะธะฒะธัะพะฒะฐะฝ ัะตะถะธะผ ะทะฐะฟัะตัะฐ ะฟะพะปััะตะฝะธั ะดะพะฟะพะปะฝะธัะตะปัะฝัั ะฟัะธะฒะธะปะตะณะธะน ะฒ ะฝะพะฒัั ะฟัะพัะตััะฐั (prctl NO_NEW_PRIVS), firejail ะฟะพะดะบะปััะธั ะฟะพะปัะทะพะฒะฐัะตะปั ะบ ัะธะบัะธะฒะฝะพะผั ะพะบััะถะตะฝะธั ะธ ะฟะพะฟััะฐะตััั ะฟัะธะผะตะฝะธัั ะฝะฐัััะพะนะบะธ ะฟัะพัััะฐะฝััะฒะฐ ะธะผัะฝ ะธะดะตะฝัะธัะธะบะฐัะพัะพะฒ ะฟะพะปัะทะพะฒะฐัะตะปะตะน (user namespace) ะฟัะพัะตััะฐ init (PID 1).
ะ ะธัะพะณะต ะฟะพะดะบะปัััะฝะฝัะน ัะตัะตะท ยซfirejail โjoinยป ะฟัะพัะตัั ะพะบะฐะถะตััั ะฒ ะธัั
ะพะดะฝะพะผ ะดะปั ะฟะพะปัะทะพะฒะฐัะตะปั ะฟัะพัััะฐะฝััะฒะต ะธะผัะฝ ะธะดะตะฝัะธัะธะบะฐัะพัะพะฒ ะฟะพะปัะทะพะฒะฐัะตะปะตะน ั ะฝะตะธะทะผะตะฝะฝัะผะธ ะฟัะธะฒะธะปะตะณะธัะผะธ, ะฝะพ ะฒ ะดััะณะพะผ ะฟัะพัััะฐะฝััะฒะต ัะพัะตะบ ะผะพะฝัะธัะพะฒะฐะฝะธั, ะฟะพะปะฝะพัััั ะบะพะฝััะพะปะธััะตะผะพะผ ะฐัะฐะบัััะธะผ. ะ ัะพะผ ัะธัะปะต ะฐัะฐะบัััะธะน ะผะพะถะตั ะฒัะฟะพะปะฝััั setuid-root ะฟัะพะณัะฐะผะผั ะฒ ัะพะทะดะฐะฝะฝะพะผ ะธะผ ะฟัะพัััะฐะฝััะฒะต ัะพัะตะบ ะผะพะฝัะธัะพะฒะฐะฝะธั, ััะพ ะฟะพะทะฒะพะปัะตั, ะฝะฐะฟัะธะผะตั, ะธะทะผะตะฝะธัั ะฝะฐัััะพะนะบะธ /etc/sudoers ะธะปะธ ะฟะฐัะฐะผะตััั PAM ะฒ ัะฒะพะตะน ัะฐะนะปะพะฒะพะน ะธะตัะฐัั
ะธะธ ะธ ะฟะพะปััะธัั ะฒะพะทะผะพะถะฝะพััั ะฒัะฟะพะปะฝะตะฝะธั ะบะพะผะฐะฝะด ั ะฟัะฐะฒะฐะผะธ root ะฟัะธ ะฟะพะผะพัะธ ััะธะปะธั sudo ะธะปะธ su.
เปเบซเบผเปเบเบเปเปเบกเบนเบ: opennet.ru