Het bedrijf Canonical heeft aangekondigd dat er wijzigingen worden aangebracht in Ubuntu 23.10, waardoor de toegang van gebruikers tot gebruikersnaamruimtes (user namespace) wordt beperkt. Dit zal de beveiliging van systemen die containerisolatie gebruiken verhogen tegen kwetsbaarheden waarvoor manipulatie van de gebruikersnaamruimtes nodig is. Volgens Google vereist 44% van de exploits die deelnemen aan het beloningsprogramma voor kwetsbaarheden in de Linux-kernel de mogelijkheid om gebruikersnaamruimtes te creƫren.
In plaats van volledige blokkering van de toegang tot de gebruikersnaamruimtes, is er in Ubuntu een hybride schema geĆÆmplementeerd dat selectief enkele programma's toestaat om gebruikersnaamruimtes te creĆ«ren, mits er een AppArmor-profiel is met de regel "allow userns create" of de rechten CAP_SYS_ADMIN. Bijvoorbeeld, voor Chrome is er een profiel aangemaakt in /etc/apparmor.d/opt.google.chrome.chrome, dat als voorbeeld kan worden gebruikt om de toegang tot de gebruikersnaamruimtes voor andere programma's te openen.
In de aanstaande release van Ubuntu 23.10 is het plan om de beperking van de toegang tot de gebruikersnaamruimtes als een optie aan te bieden die niet standaard is ingeschakeld. Enkele weken na de release van Ubuntu 23.10 zullen de ontwikkelaars informatie verzamelen over mogelijke negatieve effecten van het uitschakelen van de toegang tot gebruikersnaamruimtes op de werking van pakketten, en geschikte AppArmor-profielen voorbereiden. Vervolgens zal de beperking in een van de corrigerende updates van het kernelpakket (Stable Release Updates) standaard worden ingeschakeld.
Voor een vroege activering van de beperking kunnen de volgende commando's worden gebruikt: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
En om deze uit te schakelen: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Bron: opennet.ru
