He whakaraeraetanga (CVE-2022-31214) kua kitea i roto i te taputapu wehe tono Firejail e taea ai e te kaiwhakamahi o te rohe te whai mana pakiaka ki te punaha manaaki. He mahinga mahi e waatea ana i te rohe whanui, i whakamatauria i roto i nga putanga o naianei o openSUSE, Debian, Arch, Gentoo me Fedora me te whakaurunga o te taputapu ahi. Kua whakaritea te take i roto i te whare herehere 0.9.70 tuku. Hei mahi mo te whakamarumaru, ka taea e koe te whakarite i nga tawhā "hono kore" me te "force-nonewprivs ae" ki nga tautuhinga (/etc/firejail/firejail.config).
Ka whakamahi a Firejail i nga mokowā ingoa, AppArmor, me te tātari waea punaha (seccomp-bpf) i Linux mo te wehe, engari me whai mana nui ki te whakatu i nga mahi motuhake, ka riro ma te here ki te haki whaipainga suid root, ka rere ranei me te sudo. Ko te whakaraeraetanga na te hapa i roto i te arorau o te whiringa "--join=". ", he mea mo te hono atu ki tetahi taiao taratahi e rere ana (he rite ki te whakahau takiuru mo te taiao pouaka kirikiri) me te whakamaramatanga o te taiao ma te kaitautuhi tukanga e rere ana i roto. I roto i te waahi tautuhi i mua i te mana, ka whakatauhia e te whare herehere nga painga o te tukanga kua tohua me te whakamahi ki te tukanga hou e hono ana ki te taiao ma te whakamahi i te waahanga "-hono".
I mua i te hono atu, ka tirohia mena kei te haere te tukanga i tohua i roto i te taiao whare herehere. Ka arotakehia e tenei haki te aroaro o te konae /run/firejail/mnt/join. Hei whakaraerae i te whakaraeraetanga, ka taea e te kaiwhaiwhai te whakataurite i tetahi taiao whare herehere tito, kore-motuhake ma te whakamahi i te mokowā ingoa maunga, ka hono atu ki a ia ma te whakamahi i te whiringa "--join". Ki te kore e taea e nga tautuhinga te aratau aukati i te tango i etahi atu mana i roto i nga tikanga hou (prctl NO_NEW_PRIVS), ka hono te whare herehere ahi i te kaiwhakamahi ki tetahi taiao hangarua me te ngana ki te tono i nga tautuhinga mokowā ingoa kaiwhakamahi o te tukanga init (PID 1).
Ko te mutunga, ko te tukanga hono ma te "firejail -join" ka mutu ki roto i te mokowhiti ingoa ID kaiwhakamahi taketake o te kaiwhakamahi me nga mana kaore i whakarereketia, engari i roto i tetahi waahi mokowhiti maunga rereke, ka tino whakahaerehia e te kaipatu. Ka taea hoki e te kaitukino te whakahaere i nga kaupapa pakiaka-setuid i roto i te waahi maunga i hangaia e ia, e taea ai, hei tauira, te huri i nga tautuhinga /etc/sudoers me nga tawhā PAM ranei i roto i tana hierarchy konae me te kaha ki te whakahaere i nga whakahau me nga mana pakiaka ma te whakamahi i te sudo or su taputapu.
Source: opennet.ru