Canonical har meddelat att det görs ändringar i Ubuntu 23.10 som begränsar användarnas åtkomst till användarnamnens utrymmen (user namespace), vilket kommer att öka säkerheten för system som använder containisolering, mot sårbarheter som kräver manipulation av användarnamnens utrymmen. Enligt Google kräver 44% av de exploiteringar som deltar i programmet för att utdela belöningar för att upptäcka sårbarheter i Linux-kärnan möjligheten att skapa användarnamnens utrymmen.
Istället för en total blockering av åtkomst till användarnamnens utrymmen i Ubuntu tillämpas en hybridmodell som selektivt ger vissa program möjlighet att skapa användarnamnens utrymmen om de har en AppArmor-profil med regeln «allow userns create» eller rättigheten CAP_SYS_ADMIN. Till exempel har en profil skapats för Chrome /etc/apparmor.d/opt.google.chrome.chrome, som kan användas som exempel för att öppna åtkomst till användarnamnens utrymmen för andra program.
I den kommande versionen av Ubuntu 23.10 planeras begränsningen av åtkomst till användarnamnens utrymmen att erbjudas som ett alternativ som inte är aktiverat som standard. Under några veckor efter releasen av Ubuntu 23.10 kommer utvecklarna att samla in data om eventuell negativ påverkan av att stänga av åtkomst till användarnamnens utrymmen på hur paketen fungerar och förbereda motsvarande AppArmor-profiler. Därefter kommer begränsningen att aktiveras som standard i en av de korrigerande uppdateringarna av kärnpaketet (Stable Release Updates).
För att aktivt aktivera begränsningen kan följande kommandon användas: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1
Och för att stänga av den: sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0 sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0
Källa: opennet.ru
