A Microsoft publicou a primeira atualiza\u00e7\u00e3o est\u00e1vel da nova vers\u00e3o do CBL-Mariner 2.0 (Common Base Linux Mariner), que est\u00e1 sendo desenvolvida como uma plataforma b\u00e1sica universal para ambientes Linux utilizados em infraestrutura de nuvem, sistemas edge e diversos servi\u00e7os da Microsoft. O projeto visa unificar as solu\u00e7\u00f5es Linux usadas na Microsoft e simplificar a manuten\u00e7\u00e3o de sistemas Linux para diferentes prop\u00f3sitos. As inova\u00e7\u00f5es do projeto s\u00e3o distribu\u00eddas sob a licen\u00e7a MIT. Os pacotes s\u00e3o compilados para as arquiteturas aarch64 e x86_64. <\/p>\n
A nova vers\u00e3o se destaca por uma atualiza\u00e7\u00e3o significativa das vers\u00f5es de software. Inclui a atualiza\u00e7\u00e3o do n\u00facleo do Linux para a vers\u00e3o 5.15 (na vers\u00e3o 1.0 foi usado o n\u00facleo 5.4), systemd 250, glibc 2.35, GCC 11.2, clang 12, Python 3.9, ruby 3.1.2, rpm 4.17, qemu 6.1, perl 5.34, ostree 2022.1. O reposit\u00f3rio base inclui componentes para a constru\u00e7\u00e3o de interface gr\u00e1fica, como Wayland 1.20, Mesa 21.0, GTK 3.24 e X.Org Server 1.20.10, que anteriormente eram fornecidos em um reposit\u00f3rio separado coreui. Adicionadas compila\u00e7\u00f5es do n\u00facleo com patches PREEMPT_RT para uso em sistemas que operam em tempo real. <\/p>\n
O CBL-Mariner fornece um pequeno conjunto de pacotes b\u00e1sicos que atuam como uma base universal para criar conte\u00fados de cont\u00eaineres, ambientes host e servi\u00e7os que s\u00e3o executados em infraestruturas de nuvem e em dispositivos edge. Solu\u00e7\u00f5es mais complexas e especializadas podem ser criadas adicionando pacotes adicionais sobre o CBL-Mariner, mas a base para todos esses sistemas permanece a mesma, o que facilita a manuten\u00e7\u00e3o e a prepara\u00e7\u00e3o de atualiza\u00e7\u00f5es. Por exemplo, o CBL-Mariner \u00e9 usado como base para o mini-distribui\u00e7\u00e3o WSLg, que fornece componentes da pilha gr\u00e1fica para permitir a execu\u00e7\u00e3o de aplicativos GUI Linux em ambientes baseados na WSL2 (Windows Subsystem for Linux). A funcionalidade expandida no WSLg \u00e9 realizada atrav\u00e9s da inclus\u00e3o de pacotes adicionais como servidor<\/a> Weston, XWayland, PulseAudio e FreeRDP. <\/p>\n O sistema de constru\u00e7\u00e3o CBL-Mariner permite gerar tanto pacotes RPM individuais a partir de arquivos SPEC e c\u00f3digos fontes quanto imagens de sistema monol\u00edticas, formadas com a ferramenta rpm-ostree e atualizadas de forma at\u00f4mica, sem dividir em pacotes separados. Assim, duas modelos de entrega de atualiza\u00e7\u00f5es s\u00e3o suportados: atrav\u00e9s da atualiza\u00e7\u00e3o de pacotes individuais e da reconstru\u00e7\u00e3o e atualiza\u00e7\u00e3o de toda a imagem do sistema. Um reposit\u00f3rio est\u00e1 dispon\u00edvel, incluindo cerca de 3000 pacotes RPM j\u00e1 constru\u00eddos, que podem ser usados para compor suas pr\u00f3prias imagens com base no arquivo de configura\u00e7\u00e3o. <\/p>\n A distribui\u00e7\u00e3o inclui apenas os componentes mais essenciais e \u00e9 otimizada para um consumo m\u00ednimo de mem\u00f3ria e espa\u00e7o em disco, bem como para uma alta velocidade de inicializa\u00e7\u00e3o. A distribui\u00e7\u00e3o tamb\u00e9m se destaca pela inclus\u00e3o de v\u00e1rios mecanismos adicionais para aumentar a prote\u00e7\u00e3o. O projeto adota a abordagem de 'm\u00e1xima seguran\u00e7a por padr\u00e3o'. \u00c9 poss\u00edvel filtrar chamadas de sistema atrav\u00e9s do mecanismo seccomp, criptografar parti\u00e7\u00f5es de disco e verificar pacotes com assinatura digital. <\/p>\n Modos de randomiza\u00e7\u00e3o de espa\u00e7o de endere\u00e7o suportados no n\u00facleo Linux est\u00e3o ativados, assim como mecanismos de prote\u00e7\u00e3o contra ataques relacionados a links simb\u00f3licos, mmap, \/dev\/mem e \/dev\/kmem. Para \u00e1reas da mem\u00f3ria onde os segmentos de dados do n\u00facleo e dos m\u00f3dulos est\u00e3o alocados, a configura\u00e7\u00e3o \u00e9 apenas para leitura e a execu\u00e7\u00e3o de c\u00f3digo \u00e9 proibida. Opcionalmente, \u00e9 poss\u00edvel proibir a carga de m\u00f3dulos do n\u00facleo ap\u00f3s a inicializa\u00e7\u00e3o do sistema. O ferramenta iptables \u00e9 utilizada para filtrar pacotes de rede. Durante a constru\u00e7\u00e3o, os modos de prote\u00e7\u00e3o contra estouro de pilha, estouros de buffer e problemas de formata\u00e7\u00e3o de strings (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) est\u00e3o ativados por padr\u00e3o. <\/p>\n