A Canonical anunciou que, no Ubuntu 23.10, serão feitas mudanças que limitam o acesso dos usuários aos namespaces de identificadores de usuário (user namespace), o que aumentará a segurança dos sistemas que utilizam isolamento de contêineres contra vulnerabilidades que exigem manipulação de user namespace. Segundo dados do Google, 44% dos exploits que participam do programa de recompensas por descobertas de vulnerabilidades no kernel do Linux requerem a capacidade de criar namespaces de identificadores de usuário.
Em vez de bloquear completamente o acesso ao user namespace, o Ubuntu adotou um esquema híbrido que permite, de forma seletiva, a alguns programas a capacidade de criar namespaces de identificadores de usuário, desde que tenham um perfil AppArmor com a regra 'allow userns create' ou a permissão CAP_SYS_ADMIN. Por exemplo, para o Chrome, foi criado um perfil em /etc/apparmor.d/opt.google.chrome.chrome, que pode ser utilizado como exemplo para abrir o acesso ao user namespace para outros programas.
No próximo lançamento do Ubuntu 23.10, a limitação do acesso ao user namespace será oferecida como uma opção, desabilitada por padrão. Nas semanas seguintes ao lançamento do Ubuntu 23.10, os desenvolvedores coletarão informações sobre os possíveis efeitos negativos da desativação do acesso ao user namespace no funcionamento dos pacotes e prepararão os perfis AppArmor adequados. Em seguida, em uma das atualizações corretivas do pacote do kernel (Stable Release Updates), a limitação será ativada por padrão.
Para ativar precocemente a limitação, você pode usar os comandos: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
E para desativá-la: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Fonte: opennet.ru
