Ubuntu vil begrense tilgangen til brukerrom

Canonical har kunngjort at de har gjort endringer i Ubuntu 23.10 som begrenser brukeres tilgang til bruker-namespaces, noe som vil øke sikkerheten til systemer som bruker containereksilasjon mot sårbarheter som krever manipulasjon med bruker-namespaces. I følge Google krever 44% av eksploitene som deltar i belønningsprogrammet for å oppdage sårbarheter i Linux-kjernen muligheten til å opprette bruker-namespaces.

I stedet for å blokkere all tilgang til bruker-namespaces i Ubuntu, er det implementert en hybridordning som selektivt lar noen programmer opprette bruker-namespaces hvis de har en AppArmor-profil med regelen «allow userns create» eller CAP_SYS_ADMIN-rettigheter. For eksempel er det opprettet en profil for Chrome /etc/apparmor.d/opt.google.chrome.chrome, som kan brukes som eksempel for å gi tilgang til bruker-namespaces for andre programmer.

I den kommende utgaven av Ubuntu 23.10 planlegges det å tilby begrensningen av tilgang til bruker-namespaces som et alternativ som ikke er aktivert som standard. I løpet av noen uker etter utgivelsen av Ubuntu 23.10 vil utviklerne samle inn data om mulige negative effekter av å deaktivere tilgang til bruker-namespaces på hvordan pakkene fungerer, og forberede tilsvarende AppArmor-profiler. Deretter vil begrensningen bli aktivert som standard i en av oppdateringene av kjernen (Stable Release Updates).

For tidlig aktivering av begrensningen kan du bruke følgende kommandoer: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1

Og for å deaktivere: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0

Kilde: opennet.ru