В Ubuntu ограничат доступ приложений к user namespace

В Ubuntu ограничат доступ приложений к user namespace

В Ubuntu ограничат доступ приложений к user namespace

В Ubuntu 23.10 появится новая функция защиты от эксплуатации уязвимостей: разработчики решили ограничить доступ непривилегированных пользователей к пространствам имён идентификаторов пользователя (user namespace).

По данным Google, 44% отчетов, поданных в рамках ее программы вознаграждений за выявление уязвимостей в ядре Linux, касаются случаев, когда эксплойт осуществляется путем использования user namespace в обход контейнерной изоляции.

Блокировка непривилегированного доступа к user namespace может нарушить работу таких программ, как Firefox и Google Chrome, поэтому в Ubuntu было решено обеспечить возможность выдавать такое разрешение процессам по выбору. С этой целью в AppArmor-профиль многих затронутых приложений было добавлено новое правило userns, отрабатывающее при выставленном флаге default_allow.

В грядущем выпуске Ubuntu 23.10 опция ограничения доступа к user namespace вначале будет работать как opt-in. После испытания в полевых условиях команда Ubuntu планирует через обновление включить ее по умолчанию.

Для активации предлагается использовать следующие команды:

 

Отключить опцию впоследствии можно будет таким образом:

 

Уязвимости, связанные с использованием user namespace, объявляются в подсистемах ядра Linux с завидной регулярностью. Эксплойт обычно грозит повышением привилегий, в том числе до root.

Подпишитесь на новости

Разрозненные данные мешают бизнесу в России получать отдачу от ИИ-агентов

ИИ-агент умеет ответить, сколько денег на счете подразделения, но спланировать финансирование всей компании уже не может. Ему не хватает связей между системами и унифицированных данных. Именно это мешает бизнесу получать ожидаемый экономический эффект, считает глава Rubytech Игорь Ведёхин.

Как сообщает ТАСС, он выступил на форуме «Цифровые решения». По словам Ведёхина, без интеграции корпоративных сервисов агент остается помощником для локальных вопросов, а полноценные бизнес-задачи требуют работы сразу с несколькими системами.

Например, для финансового планирования нужно обратиться к ERP, данным о поставщиках и покупателях, банковским сервисам и прогнозам. Если все это существует отдельно, одной умной модели недостаточно: целостной картины бизнеса у нее просто нет.

Откладывание интеграции только усложняет ситуацию, отмечает Ведёхин. Команды создают собственные костыли подключения к моделям и изолированные хранилища результатов. Чем дольше так работает компания, тем больше разрозненных решений ей предстоит объединять.

Есть и вопрос дорогого железа. По оценке главы Rubytech, при нынешних подходах загрузка GPU обычно не достигает 35-40%, тогда как консолидация на общей платформе позволяет довести ее до 70-80%. Это, по его словам, дает возможность выполнять примерно вдвое больше работы на имеющейся инфраструктуре. Методика расчета этих показателей в сообщении не приводится.

Разработку ПО Ведёхин называет одной из немногих сфер, где ИИ уже дает четкий результат. Причина — относительно унифицированная среда: языки программирования, Git и Jira.

RSS: Новости на портале Anti-Malware.ru