Foi publicado o lançamento da distribuição Linux Bottlerocket 1.3.0, desenvolvida com a participação da Amazon para executar contêineres isolados de forma eficiente e segura. As ferramentas e componentes de gerenciamento da distribuição são escritos em Rust e são licenciados sob as licenças MIT e Apache 2.0. O Bottlerocket é suportado em clusters Amazon ECS, VMware e AWS EKS Kubernetes, além de permitir a criação de compilações e edições personalizadas que podem usar várias ferramentas de orquestração e runtime para contêineres.
A distribuição fornece uma imagem do sistema atômica e atualizável automaticamente, incluindo o núcleo Linux e um ambiente mínimo do sistema, contendo apenas os componentes necessários para executar contêineres. O ambiente utiliza o gerenciador de sistema systemd, a biblioteca Glibc, a ferramenta de construção Buildroot, o carregador de inicialização GRUB, o configurador de rede wicked, o runtime para contêineres isolados containerd, a plataforma de orquestração de contêineres Kubernetes, o autenticador aws-iam-authenticator e o agente Amazon ECS.
As ferramentas para orquestração de contêineres são fornecidas em um contêiner de gerenciamento separado, que é incluído por padrão e gerenciado via API e AWS SSM Agent. A imagem base não contém um shell de comando. servidor SSH e linguagens interpretadas (por exemplo, não há Python ou Perl) - as ferramentas para o administrador e os instrumentos de depuração foram realocados em um contêiner de serviço separado, que está desativado por padrão.
A principal diferença em relação a distribuições semelhantes, como Fedora CoreOS, CentOS/Red Hat Atomic Host, é a orientação primária para proporcionar máxima segurança no contexto de reforçar a proteção do sistema contra possíveis ameaças, complicar a exploração de vulnerabilidades nos componentes do sistema operacional e aumentar o isolamento dos contêineres. Os contêineres são criados usando os mecanismos nativos do núcleo Linux - cgroups, namespaces e seccomp. Para isolamento adicional, o SELinux é aplicado no modo 'enforcing'.
A partição raiz é montada em modo somente leitura, enquanto a partição de configurações /etc é montada em tmpfs e restaura seu estado original após a reinicialização. A modificação direta de arquivos no diretório /etc, como /etc/resolv.conf e /etc/containerd/config.toml, não é suportada — para a preservação permanente das configurações, deve-se usar a API ou mover a funcionalidade para contêineres separados. Para verificação criptográfica da integridade da partição raiz, é utilizado o módulo dm-verity, e, ao detectar uma tentativa de modificação de dados no nível do dispositivo de bloco, o sistema reinicia.
A maioria dos componentes do sistema é escrita na linguagem Rust, que fornece ferramentas para um gerenciamento seguro da memória, evitando vulnerabilidades causadas pelo acesso a áreas de memória após a liberação, desreferenciação de ponteiros nulos e estouros de buffer. Durante a compilação, os modos padrão "--enable-default-pie" e "--enable-default-ssp" são aplicados para habilitar a randomização do espaço de endereçamento de arquivos executáveis (PIE) e proteção contra estouro de pilha através da substituição de marcadores canários. Para pacotes escritos em C/C++, são adicionados os flags "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" e "-fstack-clash-protection".
No novo lançamento:
- Foram corrigidas vulnerabilidades nas ferramentas docker e no runtime containerd (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) relacionadas à instalação incorreta de permissões, permitindo que usuários não privilegiados saíssem do diretório base e executassem programas externos.
- Foi adicionada uma funcionalidade ao kubelet e pluto suporte a IPv6.
- Fornecida a capacidade de reiniciar um contêiner após a alteração de suas configurações.
- O pacote eni-max-pods adicionou suporte a instâncias Amazon EC2 M6i.
- O open-vm-tools agora suporta filtros de dispositivos, implementados com base no framework Cilium.
- Um modo de inicialização híbrido foi implementado para a plataforma x86_64 (com suporte para EFI e BIOS).
- Atualizadas as versões dos pacotes e dependências para a linguagem Rust.
- O suporte para a variante de distribuição aws-k8s-1.17 baseada no Kubernetes 1.17 foi descontinuado. É recomendado usar a variante aws-k8s-1.21 com suporte para Kubernetes 1.21. As variantes k8s utilizam configurações de cgroup runtime.slice e system.slice.
Fonte: opennet.ru
