{"id":110711,"date":"2023-10-10T03:10:26","date_gmt":"2023-10-10T01:10:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ubuntu-ogranichit-dostup-k-user-namespace"},"modified":"2023-10-10T03:10:26","modified_gmt":"2023-10-10T01:10:26","slug":"ubuntu-ogranichit-dostup-k-user-namespace","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/ubuntu-ogranichit-dostup-k-user-namespace","title":{"rendered":"Ubuntu limitar\u00e1 o acesso ao espa\u00e7o de nomes do usu\u00e1rio","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A Canonical anunciou que, no Ubuntu 23.10, ser\u00e3o feitas mudan\u00e7as que limitam o acesso dos usu\u00e1rios aos namespaces de identificadores de usu\u00e1rio (user namespace), o que aumentar\u00e1 a seguran\u00e7a dos sistemas que utilizam isolamento de cont\u00eaineres contra vulnerabilidades que exigem manipula\u00e7\u00e3o de user namespace. Segundo dados do Google, 44% dos exploits que participam do programa de recompensas por descobertas de vulnerabilidades no kernel do Linux requerem a capacidade de criar namespaces de identificadores de usu\u00e1rio. <\/p>\n
Em vez de um bloqueio total de acesso ao user namespace no Ubuntu, foi aplicada uma abordagem h\u00edbrida, que permite a alguns programas criar user namespaces mediante a presen\u00e7a de um perfil AppArmor com a regra «allow userns create» ou com a permiss\u00e3o CAP_SYS_ADMIN. Por exemplo, para o Chrome, foi criado um perfil em \/etc\/apparmor.d\/opt.google.chrome.chrome, que pode ser utilizado como exemplo para liberar o acesso ao user namespace para outros programas. <\/p>\n
No pr\u00f3ximo lan\u00e7amento do Ubuntu 23.10, a limita\u00e7\u00e3o do acesso ao user namespace ser\u00e1 oferecida como uma op\u00e7\u00e3o, desabilitada por padr\u00e3o. Nas semanas seguintes ao lan\u00e7amento do Ubuntu 23.10, os desenvolvedores coletar\u00e3o informa\u00e7\u00f5es sobre os poss\u00edveis efeitos negativos da desativa\u00e7\u00e3o do acesso ao user namespace no funcionamento dos pacotes e preparar\u00e3o os perfis AppArmor adequados. Em seguida, em uma das atualiza\u00e7\u00f5es corretivas do pacote do kernel (Stable Release Updates), a limita\u00e7\u00e3o ser\u00e1 ativada por padr\u00e3o. <\/p>\n
Para ativar precocemente a limita\u00e7\u00e3o, voc\u00ea pode usar os comandos: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1 <\/p>\n