Microsoft har publicerat en uppdatering för Linux-distributionen CBL-Mariner.

Microsoft har publicerat en uppdatering av CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), som utvecklas som en universell grundplattform för Linux-miljöer som används inom molninfrastruktur, edge-system och olika Microsoft-tjänster. Projektet syftar till att enhetliggöra de Linux-lösningar som används i Microsoft och förenkla underhållet av olika Linux-system för att hålla dem uppdaterade. Projektets bidrag distribueras under MIT-licensen.

I den nya utgåvan:

• Arbetet med att skapa en grundläggande ISO-avbild (700 MB) har inletts. I den första utgåvan tillhandahölls inga färdiga ISO-avbilder, utan användaren förväntades skapa en avbild med nödvändig innehåll (bygginstruktioner har tagits fram för Ubuntu 18.04).
• Stöd för automatisk uppdatering av paket har implementerats, för vilket Dnf-Automatic-applikationen har ingått.
• Linux-kärnan har uppdaterats till version 5.10.60.1. Versioner av programvaror har också uppdaterats, inklusive openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
• I OpenSSL har möjligheten att återaktivera stöd för TLS 1 och TLS 1.1 tillhandahållits.
• För att verifiera källkoderna har verktyget sha256sum använts.
• Nya paket har inkluderats: etcd-tools, cockpit, aide, fipscheck, tini.
• Paket som brp-strip-debug-symbols, brp-strip-unneeded och ca-legacy har tagits bort. SPEC-filer för paketen Dotnet och aspnetcore, som nu byggs av det huvudsakliga utvecklarteamet för .NET och placeras i ett separat arkiv, har också tagits bort.
• Fixar för sårbarheter har överförts till de använda versionerna av paketen.

Vi påminner om att CBL-Mariner-distributionen tillhandahåller en liten standarduppsättning av grundpaket, som fungerar som en universell grund för att skapa innehåll för containrar, värdmiljöer och tjänster som körs i molninfrastrukturer och på edge-enheter. Mer komplexa och specialiserade lösningar kan skapas genom att lägga till ytterligare paket ovanpå CBL-Mariner, men grunden för alla sådana system förblir oförändrad, vilket förenklar underhåll och förberedelse av uppdateringar. Till exempel används CBL-Mariner som grund för mini-distributionen WSLg, där komponenter för den grafiska stacken tillhandahålls för att möjliggöra körning av GUI-applikationer för Linux i miljöer baserade på WSL2 (Windows Subsystem for Linux). Den utökade funktionaliteten i WSLg realiseras genom att inkludera ytterligare paket med komposit. servern Weston, XWayland, PulseAudio och FreeRDP.

Byggsystemet CBL-Mariner möjliggör generering av både separata RPM-paket baserade på SPEC-filer och källtexter samt monolitiska systemavbilder som skapas med hjälp av verktyget rpm-ostree och uppdateras atomärt utan att brytas ner i separata paket. Därför stöds två modeller för leverans av uppdateringar: genom att uppdatera enskilda paket och genom att rekonstruera och uppdatera hela systemavbilden. Ett förråd tillgängligt innehåller cirka 3000 redan sammanställda RPM-paket som kan användas för att kompilera egna avbilder baserade på konfigurationsfilen.

Distributionen inkluderar bara de mest nödvändiga komponenterna och är optimerad för minimal minnes- och diskförbrukning, samt för snabb uppstart. Distributionen är också anmärkningsvärd för att inkludera olika ytterligare mekanismer för att öka säkerheten. Projektet tillämpar en "maximal säkerhet som standard"-ansats. Det finns möjlighet att filtrera systemanrop genom mekanismen seccomp, att kryptera diskpartitioner och att verifiera paket med digital signatur.

De aktiverade lägena för adressering av minnesutrymme i kärnan för Linux samt skyddsmekanismer mot attacker relaterade till symboliska länkar, mmap, /dev/mem och /dev/kmem. För minnesområden där kärn- och moduldata lagras är skrivskydd aktiverat och kodkörning förbjuden. Det finns ett valfritt alternativ för att förhindra laddning av kärnmoduler efter systeminitiering. För att filtrera nätverkspaket används verktyget iptables. Under byggsteget är skyddslägen mot stacköverflöden, buffertöversvämningar och formateringsproblem (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) aktiverade som standard.

Systemhanteraren systemd används för att styra tjänster och start. För paketadministration tillhandahålls pakethanterarna RPM och DNF (versionen tdnf från VMware). SSH-servern aktiveras inte som standard. För installation av distributionen finns en installationsprogram som kan köras i både text- och grafiska lägen. Installationsprogrammet erbjuder möjlighet att installera med en fullständig eller grundläggande uppsättning paket, samt ett gränssnitt för att välja diskpartition, välja värdnamn och skapa användare.

Källa: opennet.ru