Ubuntu ierobežos piekļuvi lietotāja telpai

Uzņēmums Canonical paziņoja par izmaiņām Ubuntu 23.10, kas ierobežo lietotāju piekļuvi lietotāja identifikatoru nosaukumu telpām (user namespace), tādējādi uzlabojot sistēmu drošību, kas izmanto konteineru izolāciju, pret ievainojamībām, kuru izmantošanai nepieciešamas manipulācijas ar user namespace. Saskaņā ar Google datiem, 44% eksploitāciju, kas piedalās ievainojamību atlīdzību programmā Linux kodolā, prasa iespēju izveidot lietotāja identifikatoru nosaukumu telpas.

Uz pilnīgu piekļuves bloķēšanu uz user namespace Ubuntu tiek izmantota hibrīda shēma, kas atliek dažām programmām iespēju izveidot user namespace, ja ir AppArmor profils ar noteikumu "allow userns create" vai CAP_SYS_ADMIN tiesībām. Piemēram, Chrome ir izveidots profils /etc/apparmor.d/opt.google.chrome.chrome, ko var izmantot kā piemēru piekļuves nodrošināšanai citām programmām.

Gaidošajā Ubuntu 23.10 izlaidumā piekļuves ierobežošana uz user namespace plānota kā opcija, kas pēc noklusējuma nav aktivizēta. Dažu nedēļu laikā pēc Ubuntu 23.10 izdevuma izlaišanas izstrādātāji apkopo informāciju par iespējamu negatīvu ietekmi uz pakotņu darbību, ja piekļuve user namespace tiek atspējota, un sagatavos attiecīgus AppArmor profilus. Pēc tam vienā no stabilās atjauninājumu pakotnēm ierobežojums tiks aktivizēts pēc noklusējuma.

Iepriekšējai ierobežojuma aktivizēšanai var izmantot komandus: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1

Un, lai to atspējotu: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0

Avots: opennet.lv