{"id":183160,"date":"2026-08-27T22:53:24","date_gmt":"2026-08-27T20:53:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-bubblewrap-0-12-proslojki-dlya-sozdaniya-izolirovannyh-okruzhenij"},"modified":"2026-08-27T22:53:29","modified_gmt":"2026-08-27T20:53:29","slug":"bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/bubblewrap-0-12-release-a-layer-for-creating-isolated-environments","title":{"rendered":"Utg\u00e5van av Bubblewrap 0.12, lager f\u00f6r skapande av isolerade milj\u00f6er","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Den nya versionen av verktyget f\u00f6r att organisera arbete i isolerade milj\u00f6er, Bubblewrap 0.12, har publicerats. Detta verktyg anv\u00e4nds f\u00f6r att begr\u00e4nsa enskilda applikationer f\u00f6r icke-privilegierade anv\u00e4ndare. I praktiken anv\u00e4nds Bubblewrap av Flatpak-projektet som ett lager f\u00f6r isolering av applikationer som startas fr\u00e5n paket. Isoleringen baseras p\u00e5 traditionella Linux-teknologier f\u00f6r containervirtualisering, d\u00e4r cgroups, namnrymder (namespaces), Seccomp och SELinux anv\u00e4nds. Projekts k\u00e4llkod \u00e4r skriven i C och distribueras under LGPLv2.1+-licensen. <\/p>\n
Isolering p\u00e5 filsystemniv\u00e5 g\u00f6rs genom att skapa ett nytt monteringsnamnrymde (mount namespace) som standard, d\u00e4r ett tomt rotpartition skapas med hj\u00e4lp av tmpfs. Vid behov monteras partitioner av extern filsystem i l\u00e4get 'mount \u2014bind' (till exempel, n\u00e4r c k\u00f6rs med alternativet 'bwrap \u2014ro-bind \/usr \/usr' \u00f6verf\u00f6rs partitionen \/usr fr\u00e5n det huvudsystemet i skrivskyddat l\u00e4ge). N\u00e4tverksm\u00f6jligheter begr\u00e4nsas till \u00e5tkomst till loopback-gr\u00e4nssnittet med isolering av n\u00e4tverksstacken via flaggorna CLONE_NEWNET och CLONE_NEWUTS. <\/p>\n
F\u00f6r att utesluta alla \u00f6verfl\u00f6diga anv\u00e4ndar- och processidentifierare fr\u00e5n det isolerade milj\u00f6 som skapats kan l\u00e4gena CLONE_NEWUSER (anv\u00e4ndarnamnrymde) och CLONE_NEWPID (PID-namnrymde) anv\u00e4ndas, och f\u00f6r att f\u00f6rbjuda erh\u00e5llande av nya privilegier anv\u00e4nds l\u00e4get PR_SET_NO_NEW_PRIVS. F\u00f6r att f\u00e5 n\u00f6dv\u00e4ndiga privilegier anv\u00e4nds 'anv\u00e4ndarnamnrymde'. <\/p>\n
I den nya utg\u00e5van: <\/p>\n
\n
Licensen f\u00f6r koden har \u00e4ndrats fr\u00e5n LGPL 2.0+ till LGPL 2.1+.\n
St\u00f6det f\u00f6r att bygga en k\u00f6rbar fil, som f\u00e5r extra privilegier med hj\u00e4lp av flaggan suid root, har upph\u00f6rt. Det \u00e4r nu ett krav att systemet har st\u00f6d f\u00f6r 'anv\u00e4ndarnamnrymde'. Som orsak anges det arbetsintensiva underh\u00e5llet av versionen med suid-flaggan i f\u00f6rh\u00e5llande till det utbredda st\u00f6det f\u00f6r 'anv\u00e4ndarnamnrymde' i distributioner.\n
En ny alternativ flagga '\u2014not-a-security-boundary' har lagts till, vilket g\u00f6r att vissa fel vid konfiguration av det isolerade sandbox-milj\u00f6n, s\u00e5som ommontering av undersektioner, inte leder till en kraschen.\n
En byggalternativ 'assume_kernel' har lagts till, vilket st\u00e4nger av st\u00f6det f\u00f6r bak\u00e5tkompatibilitet med Linux-k\u00e4rnor som \u00e4r \u00e4ldre \u00e4n specificerad version. Till exempel kommer angivandet av versioner 5.6.0+ att utesluta alternativ implementering av funktionaliteten 'openat2(RESOLVE_IN_ROOT)'. <\/ul>\n