{"id":183160,"date":"2026-08-27T22:53:24","date_gmt":"2026-08-27T20:53:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-bubblewrap-0-12-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2026-08-27T22:53:29","modified_gmt":"2026-08-27T20:53:29","slug":"bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","title":{"rendered":"Lan\u00e7amento do Bubblewrap 0.12, uma camada para criar ambientes isolados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi lan\u00e7ada uma nova vers\u00e3o do conjunto de ferramentas para organizar o trabalho em ambientes isolados Bubblewrap 0.12, que \u00e9 utilizado para restringir aplicativos de usu\u00e1rios n\u00e3o privilegiados. Na pr\u00e1tica, o Bubblewrap \u00e9 usado pelo projeto Flatpak como uma camada para isolar a execu\u00e7\u00e3o de aplicativos empacotados. Para o isolamento, s\u00e3o utilizadas tecnologias tradicionais de virtualiza\u00e7\u00e3o em cont\u00eaineres do Linux, baseadas no uso de cgroups, namespaces, Seccomp e SELinux. O c\u00f3digo do projeto \u00e9 escrito em C e est\u00e1 dispon\u00edvel sob a licen\u00e7a LGPLv2.1+. <\/p>\n
A isolamento a n\u00edvel do sistema de arquivos \u00e9 realizado atrav\u00e9s da cria\u00e7\u00e3o por padr\u00e3o de um novo espa\u00e7o de nomes de pontos de montagem (mount namespace), no qual um sistema de arquivos vazio \u00e9 criado utilizando o tmpfs. Neste sistema, segmentos de sistemas de arquivos externos podem ser montados no modo «mount —bind» (por exemplo, ao executar com a op\u00e7\u00e3o «bwrap —ro-bind \/usr \/usr», o segmento \/usr \u00e9 passado do sistema principal no modo somente leitura). As capacidades de rede s\u00e3o limitadas ao acesso \u00e0 interface de loopback com isolamento da pilha de rede atrav\u00e9s das flags CLONE_NEWNET e CLONE_NEWUTS. <\/p>\n
Para excluir todos os identificadores extras de usu\u00e1rios e processos do ambiente isolado criado, podem ser utilizados os modos CLONE_NEWUSER (user namespace) e CLONE_NEWPID (PID namespace), e para proibir a obten\u00e7\u00e3o de novos privil\u00e9gios \u00e9 utilizado o modo PR_SET_NO_NEW_PRIVS. O modo «user namespace» \u00e9 necess\u00e1rio para adquirir os privil\u00e9gios apropriados. <\/p>\n
No novo lan\u00e7amento: <\/p>\n
\n
A licen\u00e7a do c\u00f3digo foi alterada de LGPL 2.0+ para LGPL 2.1+.\n
O suporte para compilar na forma de um arquivo execut\u00e1vel que obtenha privil\u00e9gios adicionais atrav\u00e9s da flag suid root foi encerrado. A presen\u00e7a do suporte a «user namespace» no sistema \u00e9 agora obrigat\u00f3ria. A raz\u00e3o dada \u00e9 a dificuldade de manter a vers\u00e3o com a flag suid em um cen\u00e1rio onde o suporte ao «user namespace» \u00e9 disseminado em v\u00e1rias distribui\u00e7\u00f5es.\n
Foi adicionada a op\u00e7\u00e3o «--not-a-security-boundary», cuja ativa\u00e7\u00e3o faz com que algumas falhas na configura\u00e7\u00e3o do ambiente isolado sandbox, como o remonte de uma sub\u00e1rea, n\u00e3o resultem em falha cr\u00edtica.\n
Foi adicionada uma op\u00e7\u00e3o de compila\u00e7\u00e3o «assume_kernel», que desativa a garantia de compatibilidade com kernels Linux que s\u00e3o mais antigos do que a vers\u00e3o especificada. Por exemplo, a especifica\u00e7\u00e3o de vers\u00f5es 5.6.0+ resultar\u00e1 na exclus\u00e3o de uma implementa\u00e7\u00e3o alternativa da funcionalidade «openat2(RESOLVE_IN_ROOT)». <\/ul>\n