Ubuntu obmedzí prístup k user namespace

Spoločnosť Canonical oznámila zmeny v Ubuntu 23.10, ktoré obmedzujú prístup používateľov k priestorom mien identifikátorov používateľov (user namespace), čím sa zvýši bezpečnosť systémov využívajúcich kontajnerovú izoláciu pred zraniteľnosťami, ktoré vyžadujú manipuláciu s user namespace. Podľa údajov Google 44% exploitov zapojených do programu na vyplácanie odmien za odhaľovanie zraniteľností v jadre Linuxu vyžaduje možnosť vytvárania priestorov mien identifikátorov používateľov.

Namiesto úplnej blokácie prístupu k user namespace v Ubuntu bola zavedená hybridná schéma, ktorá vybraným programom umožňuje vytvárať user namespace za predpokladu, že majú profil AppArmor s pravidlom „allow userns create“ alebo právo CAP_SYS_ADMIN. Napríklad pre Chrome bol vytvorený profil /etc/apparmor.d/opt.google.chrome.chrome, ktorý sa dá použiť ako príklad na sprístupnenie prístupu k user namespace pre iné programy.

V nadchádzajúcom vydaní Ubuntu 23.10 sa plánuje obmedzenie prístupu k user namespace ponúknuť ako možnosť, ktorá nie je predvolene povolená. V priebehu niekoľkých týždňov po vydaní Ubuntu 23.10 vývojári zhromaždia informácie o možnom negatívnom vplyve deaktivácie prístupu k user namespace na fungovanie balíkov a pripravia príslušné profily AppArmor. Následne bude toto obmedzenie v rámci jedného z opravárenských aktualizácií balíka s jadrom (Stable Release Updates) aktivované ako predvolené.

Na predčasné aktivovanie obmedzenia môžete použiť nasledujúce príkazy: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1

A na jeho deaktivovanie: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0

Zdroj: opennet.ru