{"id":183160,"date":"2026-08-27T22:53:24","date_gmt":"2026-08-27T20:53:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-bubblewrap-0-12-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2026-08-27T22:53:29","modified_gmt":"2026-08-27T20:53:29","slug":"bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","title":{"rendered":"Lansarea Bubblewrap 0.12, un strat pentru crearea de medii izolate","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A fost publicat\u0103 o nou\u0103 versiune a instrumentarului pentru organizarea muncii \u00een medii izolate Bubblewrap 0.12, utilizat pentru restric\u021bionarea aplica\u021biilor individuale ale utilizatorilor f\u0103r\u0103 privilegii. \u00cen practic\u0103, Bubblewrap este folosit de proiectul Flatpak ca un strat pentru izolarea aplica\u021biilor lansate din pachete. Izolarea se bazeaz\u0103 pe tehnologii tradi\u021bionale de virtualizare a containerelor din Linux, bazate pe utilizarea cgroups, spa\u021bii de nume (namespaces), Seccomp \u0219i SELinux. Codul proiectului este scris \u00een limbajul C \u0219i este distribuit sub licen\u021ba LGPLv2.1+. <\/p>\n
Izolarea la nivel de sistem de fi\u0219iere se realizeaz\u0103 prin crearea, \u00een mod implicit, a unui nou spa\u021biu de nume pentru punctele de montare (mount namespace), \u00een care, cu ajutorul tmpfs, se creeaz\u0103 un sistem de fi\u0219iere r\u0103d\u0103cin\u0103 gol. \u00cen aceast\u0103 parti\u021bie, se pot ata\u0219a, dac\u0103 este necesar, parti\u021bii externe \u00een modul \u201emount \u2014bind\u201d (de exemplu, la pornirea cu op\u021biunea \u201ebwrap \u2014ro-bind \/usr \/usr\u201d, parti\u021bia \/usr este trecut\u0103 din sistemul principal \u00een modul doar pentru citire). Capacit\u0103\u021bile de re\u021bea sunt limitate la accesul la interfa\u021ba loopback, cu izolarea stivei de re\u021bea prin flagurile CLONE_NEWNET \u0219i CLONE_NEWUTS. <\/p>\n
Pentru a exclude to\u021bi identificatorii inutili ai utilizatorilor \u0219i proceselor din mediu izolat creat, pot fi utilizate modurile CLONE_NEWUSER (user namespace) \u0219i CLONE_NEWPID (PID namespace), iar pentru interzicerea ob\u021binerii de privilegii noi se aplic\u0103 modul PR_SET_NO_NEW_PRIVS. Pentru a ob\u021bine privilegii necesare se folose\u0219te \u201euser namespace\u201d. <\/p>\n
\u00cen noua versiune: <\/p>\n
\n
Licen\u021ba pentru cod a fost modificat\u0103 de la LGPL 2.0+ la LGPL 2.1+.\n
Suportul pentru compilarea sub form\u0103 de fi\u0219ier executabil, care ob\u021bine privilegii suplimentare prin utilizarea flagului suid root a fost \u00eencheiat. Prezen\u021ba suportului \u201euser namespace\u201d \u00een sistem este acum obligatorie. Ca motiv se men\u021bioneaz\u0103 dificultatea \u00eentre\u021binerii variantei cu flagul suid, av\u00e2nd \u00een vedere suportul generalizat al \u201euser namespace\u201d \u00een distribu\u021biile existente.\n
A fost ad\u0103ugat\u0103 op\u021biunea \u201e\u2014not-a-security-boundary\u201d, la activarea c\u0103reia unele erori la configurarea unui mediu sandbox izolat, cum ar fi remontarea subparti\u021biei, nu duc la o \u00eencheiere brusc\u0103.\n
A fost ad\u0103ugat\u0103 op\u021biunea de compilare \u201eassume_kernel\u201d, care dezactiveaz\u0103 asigurarea compatibilit\u0103\u021bii cu nucleele Linux mai vechi dec\u00e2t versiunea specificat\u0103. De exemplu, specificarea versiunilor 5.6.0+ va duce la excluderea implement\u0103rii alternative a func\u021bionalit\u0103\u021bii \u201eopenat2(RESOLVE_IN_ROOT)\u201d. <\/ul>\n