ການປ່ອຍ Bubblewrap 0.6, ຊັ້ນສໍາລັບການສ້າງສະພາບແວດລ້ອມທີ່ໂດດດ່ຽວ

ການປ່ອຍເຄື່ອງມືສໍາລັບການຈັດຕັ້ງການເຮັດວຽກຂອງສະພາບແວດລ້ອມທີ່ໂດດດ່ຽວ Bubblewrap 0.6 ແມ່ນມີຢູ່, ໂດຍປົກກະຕິແລ້ວແມ່ນໃຊ້ເພື່ອຈໍາກັດການນໍາໃຊ້ສ່ວນບຸກຄົນຂອງຜູ້ໃຊ້ທີ່ບໍ່ມີສິດທິພິເສດ. ໃນທາງປະຕິບັດ, Bubblewrap ຖືກນໍາໃຊ້ໂດຍໂຄງການ Flatpak ເປັນຊັ້ນເພື່ອແຍກແອັບພລິເຄຊັນທີ່ເປີດຕົວອອກຈາກແພັກເກັດ. ລະຫັດໂຄງການແມ່ນຂຽນເປັນ C ແລະຖືກແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ LGPLv2+.

ສໍາລັບການໂດດດ່ຽວ, ເທກໂນໂລຍີ virtualization container Linux ແບບດັ້ງເດີມແມ່ນຖືກນໍາໃຊ້, ອີງໃສ່ການນໍາໃຊ້ cgroups, namespaces, Seccomp ແລະ SELinux. ເພື່ອປະຕິບັດການດໍາເນີນການທີ່ມີສິດທິພິເສດໃນການກໍາຫນົດຄ່າບັນຈຸ, Bubblewrap ຖືກເປີດຕົວດ້ວຍສິດທິຂອງຮາກ (ໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ດ້ວຍທຸງ suid) ແລະຫຼັງຈາກນັ້ນຕັ້ງສິດທິພິເສດໃຫມ່ຫຼັງຈາກກ່ອງບັນຈຸຖືກເລີ່ມຕົ້ນ.

ການເປີດໃຊ້ namespaces ຜູ້ໃຊ້ໃນລະບົບ namespace, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານໃຊ້ຕົວກໍານົດການແຍກຕ່າງຫາກຂອງຕົນເອງໃນ containers, ແມ່ນບໍ່ຈໍາເປັນສໍາລັບການດໍາເນີນງານ, ເນື່ອງຈາກວ່າມັນບໍ່ເຮັດວຽກໂດຍຄ່າເລີ່ມຕົ້ນໃນຫຼາຍການແຈກຢາຍ (Bubblewrap ຖືກຈັດໃສ່ເປັນການປະຕິບັດ suid ຈໍາກັດຂອງ a. ຊຸດຍ່ອຍຂອງຄວາມສາມາດໃນການຕັ້ງຊື່ຜູ້ໃຊ້ - ເພື່ອຍົກເວັ້ນຕົວລະບຸຜູ້ໃຊ້ ແລະຂະບວນການທັງໝົດຈາກສະພາບແວດລ້ອມ, ຍົກເວັ້ນອັນປັດຈຸບັນ, ໂໝດ CLONE_NEWUSER ແລະ CLONE_NEWPID ຖືກໃຊ້). ສໍາລັບການປົກປ້ອງເພີ່ມເຕີມ, ໂປຣແກຣມທີ່ດໍາເນີນການພາຍໃຕ້ Bubblewrap ຈະຖືກເປີດຕົວໃນໂຫມດ PR_SET_NO_NEW_PRIVS, ເຊິ່ງຫ້າມການໄດ້ຮັບສິດທິພິເສດໃຫມ່, ຕົວຢ່າງ, ຖ້າມີທຸງ setuid.

ການໂດດດ່ຽວໃນລະດັບລະບົບໄຟລ໌ແມ່ນສໍາເລັດໂດຍການສ້າງ namespace mount ໃຫມ່ໂດຍຄ່າເລີ່ມຕົ້ນ, ໃນການແບ່ງປັນຮາກທີ່ຫວ່າງເປົ່າແມ່ນຖືກສ້າງຂຶ້ນໂດຍໃຊ້ tmpfs. ຖ້າຈໍາເປັນ, ການແບ່ງປັນ FS ພາຍນອກແມ່ນຕິດກັບພາທິຊັນນີ້ໃນໂຫມດ "mount —bind" (ຕົວຢ່າງ, ເມື່ອເປີດຕົວດ້ວຍຕົວເລືອກ "bwrap —ro-bind / usr / usr", / usr partition ຈະຖືກສົ່ງຕໍ່ຈາກລະບົບຕົ້ນຕໍ. ໃນ​ຮູບ​ແບບ​ການ​ອ່ານ​ເທົ່າ​ນັ້ນ​)​. ຄວາມສາມາດຂອງເຄືອຂ່າຍຖືກຈຳກັດໃຫ້ເຂົ້າເຖິງສ່ວນຕິດຕໍ່ loopback ດ້ວຍການໂດດດ່ຽວເຄືອຂ່າຍຜ່ານທຸງ CLONE_NEWNET ແລະ CLONE_NEWUTS.

ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນຈາກໂຄງການ Firejail ທີ່ຄ້າຍຄືກັນ, ເຊິ່ງຍັງໃຊ້ຮູບແບບການເປີດຕົວ setuid, ແມ່ນວ່າໃນ Bubblewrap ຊັ້ນການສ້າງຕູ້ຄອນເທນເນີປະກອບມີພຽງແຕ່ຄວາມສາມາດຂັ້ນຕ່ໍາທີ່ຈໍາເປັນ, ແລະຫນ້າທີ່ກ້າວຫນ້າທາງດ້ານທັງຫມົດທີ່ຈໍາເປັນສໍາລັບການແລ່ນຄໍາຮ້ອງສະຫມັກກາຟິກ, ການໂຕ້ຕອບກັບ desktop ແລະຄໍາຮ້ອງຂໍການກັ່ນຕອງ. ກັບ Pulseaudio, ໂອນໄປຫາຝ່າຍ Flatpak ແລະຖືກປະຕິບັດຫຼັງຈາກສິດທິພິເສດໄດ້ຖືກຕັ້ງຄືນໃຫມ່. ໃນທາງກົງກັນຂ້າມ, Firejail ລວມທຸກຫນ້າທີ່ທີ່ກ່ຽວຂ້ອງຢູ່ໃນໄຟລ໌ທີ່ປະຕິບັດໄດ້, ເຊິ່ງເຮັດໃຫ້ມັນຍາກທີ່ຈະກວດສອບແລະຮັກສາຄວາມປອດໄພໃນລະດັບທີ່ເຫມາະສົມ.

ໃນການປ່ອຍໃຫມ່:

• Добавлена поддержка сборочной системы Meson. Поддержка сборки при помощи Autotools пока сохранена, но будет удалена в одном из следующих выпусков.
• Реализована опция «—add-seccomp» для добавления более чем одной программы seccomp. Добавлено предупреждение о том, что при повторном указании опции «—seccomp» будет применён только последний параметр.
• Ветка master в git-репозитории переименована в main.
• Добавлена частичная поддержка спецификации REUSE, унифицирующей процесс указания сведений о лицензиях и авторских правах. Во многие файлы с кодом добавлены заголовки SPDX-License-Identifier. Следование рекомендациям REUSE позволяет упростить автоматическое определение какая лицензия применяется к каким из частей кода приложения.
• Добавлена проверка значения счётчика аргументов командной строки (argc) и реализован экстренный выход в случае если счётчик равен нулю. Изменение позволяет блокировать проблемы с безопасностью, вызванные некорректной обработкой передаваемых аргументов командной строки, такие как CVE-2021-4034 в Polkit.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru