{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Wydanie systemu izolacji aplikacji Firejail 0.9.78","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Opublikowano wydanie projektu Firejail 0.9.78, rozwijaj\u0105cego system do izolowanego uruchamiania aplikacji graficznych, konsolowych i serwerowych, kt\u00f3ry pozwala zminimalizowa\u0107 ryzyko kompromitacji g\u0142\u00f3wnego systemu podczas uruchamiania aplikacji, kt\u00f3rym brakuje zaufania lub kt\u00f3re mog\u0105 by\u0107 podatne na ataki. Program napisany jest w j\u0119zyku C, udost\u0119pniany na podstawie licencji GPLv2 i mo\u017ce dzia\u0142a\u0107 w ka\u017cdym dystrybucji Linuxa z j\u0105drem starszym ni\u017c 3.0. Gotowe pakiety z Firejail s\u0105 dost\u0119pne w formatach deb (Debian, Ubuntu) oraz rpm (CentOS, Fedora). <\/p>\n
Do izolacji w Firejail u\u017cywane s\u0105 przestrzenie nazw (namespaces), AppArmor i filtracja wywo\u0142a\u0144 systemowych (seccomp-bpf) w systemie Linux. Po uruchomieniu program i wszystkie jego procesy potomne korzystaj\u0105 z oddzielnych widok\u00f3w zasob\u00f3w j\u0105dra, takich jak stos sieciowy, tabela proces\u00f3w i punkty montowania. Aplikacje zale\u017cne od siebie mo\u017cna \u0142\u0105czy\u0107 w jeden wsp\u00f3lny sandbox. W razie potrzeby Firejail mo\u017cna stosowa\u0107 r\u00f3wnie\u017c do uruchamiania kontener\u00f3w Docker, LXC i OpenVZ. <\/p>\n
W przeciwie\u0144stwie do narz\u0119dzi do izolacji kontener\u00f3w, firejail jest niezwykle prosty w konfiguracji i nie wymaga przygotowania obrazu systemowego \u2014 sk\u0142ad kontenera jest tworzony w locie na podstawie zawarto\u015bci bie\u017c\u0105cego systemu plik\u00f3w i usuwany po zako\u0144czeniu dzia\u0142ania aplikacji. Oferowane s\u0105 elastyczne narz\u0119dzia do definiowania zasad dost\u0119pu do systemu plik\u00f3w, umo\u017cliwiaj\u0105ce okre\u015blenie, do kt\u00f3rych plik\u00f3w i katalog\u00f3w dost\u0119p jest dozwolony lub zabroniony, pod\u0142\u0105czanie tymczasowych system\u00f3w plik\u00f3w (tmpfs) dla danych, ograniczanie dost\u0119pu do plik\u00f3w lub katalog\u00f3w tylko do odczytu oraz \u0142\u0105czenie katalog\u00f3w za pomoc\u0105 bind-mount i overlayfs. <\/p>\n
Dla du\u017cej liczby popularnych aplikacji, w tym Firefox, Chromium, VLC i Transmission, przygotowane s\u0105 gotowe profile izolacji wywo\u0142a\u0144 systemowych. Aby uzyska\u0107 uprawnienia niezb\u0119dne do skonfigurowania izolowanego \u015brodowiska, plik wykonywalny firejail jest instalowany z flag\u0105 SUID root (po inicjalizacji uprawnienia s\u0105 resetowane). Aby uruchomi\u0107 program w trybie izolacji, wystarczy poda\u0107 nazw\u0119 aplikacji jako argument narz\u0119dzia firejail, na przyk\u0142ad \u201efirejail firefox\u201d lub \u201esudo firejail \/etc\/init.d\/nginx start\u201d. <\/p>\n
W nowym wydaniu: <\/p>\n
\n
Do pliku konfiguracyjnego firejail.config dodano opcje arg-max-count, arg-max-len, env-max-count i env-max-len w celu zmiany limit\u00f3w liczby i rozmiaru opcji wiersza polece\u0144 oraz zmiennych \u015brodowiskowych. Domy\u015blnie liczba argument\u00f3w jest ograniczona do 128, liczba zmiennych \u015brodowiskowych do 256, a rozmiar ka\u017cdego argumentu \u2014 PATH_MAX z limits.h (w Linux 40196) + 32.\n
Dodano opcj\u0119 \u00ab\u2014xephyr-extra-params\u00bb do okre\u015blenia dodatkowych opcji dla Xephyr (u\u017cywanej do tworzenia \u015brodowisk piaskownicy X11 z w\u0142asnym serwerem X uruchomionym w oknie) w wierszu polece\u0144 bez zmiany firejail.config.\n
Narz\u0119dzie bwrap (bubblewrap) zainstalowane w \u015brodowisku piaskownicy zosta\u0142o zast\u0105pione przez warstw\u0119 fbwrap, kt\u00f3ra uruchamia programy bez izolacji w celu rozwi\u0105zania problem\u00f3w z uruchamianiem Firefox, Thunderbird, GIMP z powodu wywo\u0142ania glycin 2.0.0 z gdk-pixbuf2 przy u\u017cyciu bwrap. Dodano r\u00f3wnie\u017c opcj\u0119 \u00ab\u2014allow-bwrap\u00bb w celu skopiowania bwrap zamiast warstwy.\n
Zaktualizowano tabele wywo\u0142a\u0144 systemowych dla seccomp. Dodano nowe wywo\u0142ania systemowe, takie jak epoll_pwait2 oraz futex_wait.\n
Usuni\u0119to opcj\u0119 budowania \u00ab\u2014disable-globalcfg\u00bb, zako\u0144czono wsparcie dla overlayfs (\u00ab\u2014overlay\u00bb) oraz trybu IDS (System wykrywania intruz\u00f3w, \u00ab\u2014ids\u00bb).\n
Dodano profile izolacji dla edytora tekstowego ne, przegl\u0105darki Trivalent oraz silnik\u00f3w gier OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.\n
Zaktualizowano profile dla thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave i hashcat. <\/ul>\n