Podjetje Canonical je napovedalo spremembe v Ubuntu 23.10, ki omejujejo dostop uporabnikov do prostorov imen identifikatorjev uporabnika (user namespace), kar bo povečalo varnost sistemov, ki uporabljajo izolacijo kontejnerjev, pred ranljivostmi, za katere je potrebno manipuliranje z user namespace. Po podatkih Googla 44 % izkoriščanj, povezanih z nagradno shemo za odkrivanje ranljivosti v jedru Linux, zahteva možnost ustvarjanja prostorov imen identifikatorjev uporabnika.
Namesto popolne blokade dostopa do user namespace v Ubuntu je bila uvedena hibridna shema, ki nekatere programe selektivno pušča možnost ustvarjati user namespace ob pogoju, da imajo profil AppArmor z pravilom „allow userns create“ ali pravico CAP_SYS_ADMIN. Na primer, za Chrome je bil ustvarjen profil /etc/apparmor.d/opt.google.chrome.chrome, ki ga lahko uporabimo kot primer za odpiranje dostopa do user namespace za druge programe.
V prihajajoči različici Ubuntu 23.10 bo omejitev dostopa do user namespace ponujena kot možnost, ki privzeto ne bo vključena. V nekaj tednih po izdaji Ubuntu 23.10 bodo razvijalci zbrali informacije o morebitnem negativnem vplivu izklopa dostopa do user namespace na delovanje paketov in pripravili ustrezne profile AppArmor. Nato bo sredi korektivnih posodobitev paketa z jedrom (Stable Release Updates) omejitev privzeto aktivirana.
Za predčasno aktivacijo omejitve lahko uporabite ukaze: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
In za izklop: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Izvor: opennet.ru
