Início / ubuntu / Perguntas / 1497276
Accepted
daisy
Asked: 2023-12-17 08:12:19 +0800 CST

Por que user.max_user_namespaces está habilitado no Ubuntu por padrão?

  • 772

Estou investigando explorações de kernel nos últimos anos, aproximadamente 80% delas requerem user.max_user_namespaces com um valor positivo.

Esta configuração está desabilitada no CentOS desde a série 6.X, mas habilitada em todas as versões recentes do Ubuntu LTS.

A conclusão parece ser "O Ubuntu é mais facilmente explorável" porque "user.max_user_namespaces" está habilitado por padrão.

Estou me perguntando por que o Ubuntu não desabilita isso também? Existe alguma vantagem em habilitá-lo nas configurações padrão?

kernel

1 respostas

  1. Best Answer

    O Ubuntu o manteve habilitado por muito mais tempo que o Debian, mas veja o raciocínio do Debian para habilitá-lo no alvo , que eu acho que é provavelmente o mesmo do Ubuntu:

    A partir do Linux 5.10, todos os usuários têm permissão para criar namespaces de usuário por padrão. Isso permitirá que programas como navegadores da web e gerenciadores de contêineres criem sandboxes mais restritas para códigos não confiáveis ​​ou menos confiáveis, sem a necessidade de executar como root ou usar um auxiliar setuid-root.

    O padrão anterior do Debian era restringir esse recurso a processos executados como root, porque expunha mais problemas de segurança no kernel. No entanto, à medida que a implementação desta funcionalidade amadureceu, estamos agora confiantes de que o risco de ativá-la é compensado pelos benefícios de segurança que proporciona.

    Então, eles acham que os benefícios de segurança oferecidos por isso são bons o suficiente para não considerarem jogar tudo fora.

    E o Ubuntu está ciente dos problemas de segurança e está trabalhando em uma mitigação usando o AppArmor :

    Desabilitar namespaces de usuários sem privilégios pode impedir uma exploração, mas também pode interromper aplicativos que os usam legitimamente e dependem do acesso a eles.

    Com a introdução de namespaces de usuários sem privilégios restritos, o AppArmor pode ser usado para permitir e proibir seletivamente namespaces de usuários sem privilégios para aplicativos individuais. A política do AppArmor é usada para controlar seletivamente o acesso a namespaces de usuários sem privilégios por aplicativo e, em seguida, negar acesso a todos os outros aplicativos.

    (Esta postagem também menciona em outro lugar como os namespaces de usuário reduziram a necessidade de setuid.)

    De acordo com a postagem do blog anunciando isso , ele está desabilitado por padrão na versão inicial 23.10 e planejado para ser habilitado posteriormente por uma atualização de pacote à medida que obtiverem mais dados. Versões mais antigas não serão afetadas.

    • 7

relate perguntas