{"id":110711,"date":"2023-10-10T03:10:26","date_gmt":"2023-10-10T01:10:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ubuntu-ogranichit-dostup-k-user-namespace"},"modified":"2023-10-10T03:10:26","modified_gmt":"2023-10-10T01:10:26","slug":"ubuntu-ogranichit-dostup-k-user-namespace","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/ubuntu-ogranichit-dostup-k-user-namespace","title":{"rendered":"Ubuntu beperkt de toegang tot user namespace.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Het bedrijf Canonical heeft aangekondigd dat er wijzigingen worden aangebracht in Ubuntu 23.10, waardoor de toegang van gebruikers tot gebruikersnaamruimtes (user namespace) wordt beperkt. Dit zal de beveiliging van systemen die containerisolatie gebruiken verhogen tegen kwetsbaarheden waarvoor manipulatie van de gebruikersnaamruimtes nodig is. Volgens Google vereist 44% van de exploits die deelnemen aan het beloningsprogramma voor kwetsbaarheden in de Linux-kernel de mogelijkheid om gebruikersnaamruimtes te cre\u00ebren. <\/p>\n
In plaats van volledige blokkering van de toegang tot de user namespace in Ubuntu, is er een hybride schema toegepast dat selectief sommige programma's de mogelijkheid biedt om een user namespace te cre\u00ebren, mits ze een AppArmor-profiel hebben met de regel «allow userns create» of de CAP_SYS_ADMIN-rechten. Bijvoorbeeld, voor Chrome is er een profiel aangemaakt in \/etc\/apparmor.d\/opt.google.chrome.chrome, dat kan worden gebruikt als voorbeeld om de toegang tot de user namespace voor andere programma's te openen. <\/p>\n
In de aanstaande release van Ubuntu 23.10 is het plan om de beperking van de toegang tot de gebruikersnaamruimtes als een optie aan te bieden die niet standaard is ingeschakeld. Enkele weken na de release van Ubuntu 23.10 zullen de ontwikkelaars informatie verzamelen over mogelijke negatieve effecten van het uitschakelen van de toegang tot gebruikersnaamruimtes op de werking van pakketten, en geschikte AppArmor-profielen voorbereiden. Vervolgens zal de beperking in een van de corrigerende updates van het kernelpakket (Stable Release Updates) standaard worden ingeschakeld. <\/p>\n
Voor een vroege activering van de beperking kunnen de volgende commando's worden gebruikt: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1 <\/p>\n