Компания Canonical объявила о внесении в Ubuntu 23.10 изменений, ограничивающих доступ непривилегированных пользователей к пространствам имён идентификаторов пользователя (user namespace), что позволит повысить защищённость систем, использующих контейнерную изоляцию, от уязвимостей, для эксплуатации которых необходимы манипуляции с user namespace. По данным Google, 44% эксплоитов, участвующих в программе по выплате денежных вознаграждений за выявление уязвимостей в ядре Linux, требуют наличия возможности создания пространств имён идентификаторов пользователя.

Вместо полной блокировки доступа к user namespace в Ubuntu применена гибридная схема, выборочно оставляющая некоторым программам возможность создавать user namespace при наличии профиля AppArmor с правилом "allow userns create" или прав CAP_SYS_ADMIN. Например, для браузера Chrome, в котором user namespace применяется для sandbox-изоляции процессов, создан профиль /etc/apparmor.d/opt.google.chrome.chrome, пригодный для использования в качестве примера для открытия доступа к user namespace для других программ.

В грядущем выпуске Ubuntu 23.10 ограничение доступа к user namespace планируют предложить в качестве опции, не включённой по умолчанию. В течение нескольких недель после релиза Ubuntu 23.10 разработчики соберут сведения о возможном негативном влиянии отключения доступа к user namespace на работу пакетов и подготовят соответствующие профили AppArmor. Затем в одном из корректирующих обновлений пакета с ядром (Stable Release Updates) ограничение будет активировано по умолчанию.

Для досрочного включения ограничения можно использовать команды:

    sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=1
    sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=1

А для отключения:

    sudo sysctl -w kernel.apparmor_restrict_unprivileged_unconfined=0
    sudo sysctl -w kernel.apparmor_restrict_unprivileged_userns=0

Напомним, что пространства имён (namespace) в ядре Linux позволяют привязать к разным процессам разные представления ресурсов, например, процесс может быть помещён в окружение со своими точками монтирования, UTS, IPC, PID и сетевым стеком, которые не пересекаются с окружением других процессов. Пространства имён для непривилегированных пользователей дают возможность создавать пространства имён не только пользователю root, но и обычным непривилегированным пользователям (например применяется для sandbox-изоляции браузеров).

Среди прочего можно создавать пространства имён идентификаторов пользователей (user namespace) и сетевые пространства имён (network namespace), позволяющие процессу в отдельном изолированном окружении получить права root или доступ к расширенным возможностям сетевого стека, но остаться непривилегированным вне контейнера. Теоретически привилегированные операции внутри пространства имён изолированы от основной системы, но на практике регулярно всплывают уязвимости в подсистемах ядра, которые недоступны для непривилегированного пользователя в основном окружении, но могут быть эксплуатированы через манипуляции из пространств имён.