projektets release , inom vilket ett system utvecklas för isolerad körning av grafiska, konsol- och serverapplikationer. Användningen av Firejail minimerar risken för att huvudsystemet komprometteras vid körning av otillförlitliga eller potentiellt sårbara program. Programmet är skrivet i C-språket, under licens av GPLv2 och kan köras på vilken Linux-distribution som helst med en kärna äldre än 3.0. Färdiga paket med Firejail i deb-format (Debian, Ubuntu) och rpm (CentOS, Fedora).
För isolering i Firejail namnrymder (namespaces), AppArmor och filtrering av systemanrop (seccomp-bpf) i Linux. Efter lansering använder programmet och alla dess underprocesser separata vyer av kärnresurser, såsom nätverksstack, processtabell och monteringspunkter. Sammanlänkade applikationer kan förenas i en gemensam sandbox. Om så önskas kan Firejail även användas för att köra Docker, LXC och OpenVZ-containrar.
Till skillnad från kontainisolering är firejail ytterst i konfigurationen och kräver ingen förberedelse av systemavbild — containerinnehållet skapas dynamiskt baserat på innehållet i den aktuella filsystemet och tas bort efter att programmet avslutats. Flexibla verktyg för att ange åtkomstregler för filsystemet tillhandahålls, och det är möjligt att ange vilka filer och kataloger som har tillåten eller förbjuden åtkomst, koppla temporära filsystem (tmpfs) för data, begränsa tillgången till filer eller kataloger till endast läsning, kombinera kataloger genom bind-mount och overlayfs.
För ett stort antal populära program, inklusive Firefox, Chromium, VLC och Transmission, finns färdiga isolering av systemanrop. För att köra programmet i isoleringsläge räcker det att ange namnet på applikationen som argument till verktyget firejail, till exempel "firejail firefox" eller "sudo firejail /etc/init.d/nginx start".
I den nya utgåvan:
- Sårbarhet som tillät en ondskefull process att kringgå mekanismen för begränsning av systemanrop har åtgärdats. Kärnan i sårbarheten är att Seccomp-filter kopieras till katalogen /run/firejail/mnt, som är skrivbar inom isoleringsmiljön. Processer som körs i isoleringsläge kan ändra dessa filer, vilket leder till att nya processer som startas i samma miljö körs utan att tillämpa systemanropsfiltret;
- I filtret memory-deny-write-execute har anropet "memfd_create" blockerats;
- En ny alternativ "private-cwd" har lagts till för att ändra arbetskatalogen för jail;
- Ett alternativ "--nodbus" har lagts till för att blockera D-Bus-sockets;
- Stödet för CentOS 6 har återställts;
- stöd för paket i format och .
, att för dessa paket bör deras egna verktyg användas; - Nya profiler för isolering av 87 ytterligare program har lagts till, inklusive mypaint, nano, xfce4-mixer, gnome-keyring, redshift, font-manager, gconf-editor, gsettings, freeciv, lincity-ng, openttd, torcs, tremulous, warsow, freemind, kid3, freecol, opencity, utox, freeoffice-planmaker, freeoffice-presentations, freeoffice-textmaker, inkview, meteo-qt, ktouch, yelp och cantata.
Källa: opennet.ru
