{"id":153282,"date":"2026-01-04T11:12:36","date_gmt":"2026-01-04T09:12:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78"},"modified":"2026-01-04T11:12:36","modified_gmt":"2026-01-04T09:12:36","slug":"reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/reliz-sistemy-izolyaczii-prilozhenij-firejail-0-9-78","title":{"rendered":"Ursprung av applikationsisolationssystemet Firejail 0.9.78","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Sl\u00e4pp av projektet Firejail 0.9.78 \u00e4r publicerat, som utvecklar ett system f\u00f6r isolerad k\u00f6rning av grafiska, konsol- och serverapplikationer. Det minimerar risken f\u00f6r att den prim\u00e4ra systemet komprometteras n\u00e4r man k\u00f6r betrodda eller potentiellt s\u00e5rbara program. Programmet \u00e4r skrivet i C, \u00e4r licenserat under GPLv2 och kan k\u00f6ras p\u00e5 vilken Linux-distribution som helst med en k\u00e4rna \u00e4ldre \u00e4n 3.0. Klara paket med Firejail har f\u00f6rberetts i deb-format (Debian, Ubuntu) och rpm-format (CentOS, Fedora). <\/p>\n
F\u00f6r isolering i Firejail anv\u00e4nds namnrymder (namespaces), AppArmor och systemanropsfiltrering (seccomp-bpf) i Linux. Efter start anv\u00e4nder programmet och alla dess underprocesser separata vyer av k\u00e4rnresurser, s\u00e5som n\u00e4tverksstack, process-tabeller och monteringspunkter. Sammanl\u00e4nkade applikationer kan f\u00f6renas i en gemensam sandbox. Vid \u00f6nskem\u00e5l kan Firejail \u00e4ven anv\u00e4ndas f\u00f6r att k\u00f6ra Docker-, LXC- och OpenVZ-containrar. <\/p>\n
Till skillnad fr\u00e5n containerisoleringsverktyg \u00e4r firejail extremt enkelt att konfigurera och kr\u00e4ver ingen f\u00f6rberedelse av systemavbildning \u2014 containerns inneh\u00e5ll skapas dynamiskt baserat p\u00e5 det aktuella filsystemet och tas bort efter att applikationen har k\u00f6rts klart. Flexibla verktyg f\u00f6r att definiera \u00e5tkomstrestriktioner till filsystemet tillhandah\u00e5lls, vilket g\u00f6r det m\u00f6jligt att ange vilka filer och kataloger som \u00e5tkomst \u00e4r till\u00e5ten eller f\u00f6rbjuden, koppla till tempor\u00e4ra filsystem (tmpfs), begr\u00e4nsa \u00e5tkomsten till filer eller kataloger endast f\u00f6r l\u00e4sning, samt sammanfoga kataloger via bind-mount och overlayfs. <\/p>\n
F\u00f6r ett stort antal popul\u00e4ra applikationer, inklusive Firefox, Chromium, VLC och Transmission, har f\u00e4rdiga profiler f\u00f6r systemanropsisolering tagits fram. F\u00f6r att erh\u00e5lla de privilegier som kr\u00e4vs f\u00f6r att konfigurera den isolerade milj\u00f6n, installeras k\u00f6rfilen firejail med SUID root-flaggan (efter initialisering tas privilegierna bort). F\u00f6r att k\u00f6ra programmet i isoleringsl\u00e4ge r\u00e4cker det att ange applikationens namn som parameter f\u00f6r firejail-verktyget, till exempel \u201afirejail firefox\u2018 eller \u201asudo firejail \/etc\/init.d\/nginx start\u2018. <\/p>\n
I den nya utg\u00e5van: <\/p>\n
\n
I konfigurationsfilen firejail.config har alternativ som arg-max-count, arg-max-len, env-max-count och env-max-len lagts till f\u00f6r att \u00e4ndra gr\u00e4nserna f\u00f6r antalet och storleken p\u00e5 kommandoradsalternativ och milj\u00f6variabler. Som standard begr\u00e4nsas antalet argument till 128, antalet milj\u00f6variabler till 256, och storleken p\u00e5 varje argument \u00e4r \u2014 PATH_MAX fr\u00e5n limits.h (i Linux 40196) + 32.\n
Ett alternativ \u201a\u2014xephyr-extra-params\u2018 har lagts till f\u00f6r att ange ytterligare alternativ till Xephyr (som anv\u00e4nds f\u00f6r att skapa sandbox-milj\u00f6er X11 med sin egen X-server som k\u00f6rs i ett f\u00f6nster) i kommandoraden utan att \u00e4ndra firejail.config.\n
Verktyget bwrap (bubblewrap) som installeras i sandbox-milj\u00f6n har ersatts med ett lager fbwrap, som k\u00f6r program utan isolering f\u00f6r att l\u00f6sa problem med att starta Firefox, Thunderbird, GIMP p\u00e5 grund av anrop av glycin 2.0.0 fr\u00e5n gdk-pixbuf2 med anv\u00e4ndning av bwrap. Ett alternativ \u201a\u2014allow-bwrap\u2018 har lagts till f\u00f6r att kopiera bwrap ist\u00e4llet f\u00f6r lagret.\n
Systemanropstabellerna f\u00f6r seccomp har uppdaterats. Nya systemanrop har lagts till, som epoll_pwait2 och futex_wait.\n
Byggalternativet \u201a\u2014disable-globalcfg\u2018 har tagits bort, st\u00f6det f\u00f6r overlayfs (\u201a\u2014overlay\u2018) och IDS-l\u00e4get (Intrusion Detection System, \u201a\u2014ids\u2018) har upph\u00f6rt.\n
Isoleringsprofiler har lagts till f\u00f6r textredigeraren ne, webbl\u00e4saren Trivalent och spelmotorerna OpenRA, quakespasm, gzdoom, lzdoom, uzdoom.\n
Profilerna f\u00f6r thunderbird, wine, qutebrowser, firefox, godot, wusc, mullvad-browser, blink, steam, ssh, brave och hashcat har uppdaterats. <\/ul>\n