In program sin basa da Chromium interrumpa: «The SUID sandbox helper binary was found, but is not configured correctly»

Discord ed auters programs sin basa dad Electron u Chromium pon sa fermar gist a l’aviar cun quest messadi:

FATAL:sandbox/linux/suid/client/setuid_sandbox_host.cc:166] The SUID sandbox helper binary was found, but is not configured correctly. Rather than run without sandboxing I'm aborting now. You need to make sure that /home/user/.config/discord/app-1.0.157/chrome-sandbox is owned by root and has mode 4755.

Chromium metta las paginas ch’el represchenta en in sandbox e sustegna duas modas da construir in sandbox: in spazi da num da l’utilisader u, sch’in spazi da num da l’utilisader vegn refusà, il program d’agid setuid chrome-sandbox che vegn furnì cun il program. Cur ch’il guardian è activ, vegn il spazi da num refusà a mintga program che n’è betg sin sia glista, e Chromium passa al program d’agid. Sch’il program d’agid è vegnì installà senza il bit setuid, interrumpa Chromium, empè da cuntinuar senza sandbox.

Sch’in program è pertutgà, dependa perquai da ses program d’agid. Arch installescha il program d’agid cun setuid per chromium, per mintga pachet electron e per signal-desktop, ed il brave-bin da l’AUR fa il medem, uschia che quests programs s’avieschan sco fin qua. Pertutgads èn programs che portan in agen Chromium cun in program d’agid ordinari, quai ch’è frequent tar ils pachets -bin da l’AUR, e mintga program che vegn exequì da Voss ordinatur persunal. Discord è in da quels: il pachet discord dal repositori dad Arch installescha mo in program d’aviar che telechargia Discord en ~/.config/discord ed aviescha Discord da là.

Per verifitgar ch’il guardian è quel ch’ha refusà il program, dumandai il guardian. sudo ditana-userns-guard --status enumerescha ils programs ch’el ha refusà, ils pli recents l’emprim, mintgin cun l’account d’utilisader che ha exequì il program e cun la frequenza; ina lingia sco refused 3x uid 1000 Discord, 12 s ago numna il culpant. La versiun 1.00 dal guardian dumbra mo: là exequi il cumond avant e suenter l’aviar dal program, e sche denied è creschì, è quai stà il guardian.

Per in program en Voss ordinatur persunal utilisai empè ses Flatpak:

sudo flatpak install flathub com.discordapp.Discord
sudo pacman -Rns discord

Flatpak construescha ses sandbox cun bubblewrap, ch’è sin la glista, e l’agen sandbox da Discord vegn lura exequì entaifer quel. En quest cas na faschai betg quai ch’il messadi dumonda. Ina datoteca setuid root en Voss ordinatur persunal dat privilegis da root ad ina datoteca binara ch’il program d’actualisaziun dal program sez ha telechargià e che nagina persuna n’ha verifitgà, e la proxima actualisaziun metta ina nova datoteca binara sper quella.

In program sin basa da Chromium ord in pachet

La gronda part dals programs sin basa da Chromium u Electron che derivan d’in pachet s’avieschan normalmain, perquai che lur pachet installescha il program d’agid dal sandbox cun setuid root, sco ils pachets chromium ed electron dad Arch. Il messadi cumpara mo en cas, nua ch’in pachet installescha il program d’agid senza quest bit, quai ch’è rar e pertutga surtut pachets -bin da l’AUR che portan in agen Electron. Tut ils auters pachets n’èn betg pertutgads: els n’han nagin tal program d’agid. Il remedi è da dar il bit al program d’agid. Chromium na dovra lura insumma nagin spazi da num da l’utilisader, e perquai è quai meglier che metter il program sin la glista dal guardian. Il suandant cumond enumerescha mintga program d’agid dal sistem al qual il bit manca:

find /usr /opt -type f \( -name chrome-sandbox -o -name chrome_sandbox \) \( ! -user root -o ! -perm -4001 \)

Metter il bit ina giada na basta betg, perquai che la proxima actualisaziun dal pachet scriva la datoteca puspè sco ch’ella era. In hook da pacman metta il bit danovamain suenter mintga actualisaziun. Per mintga percurs ch’il cumond ha mussà, mettai helper sin quest percurs ed exequi:

helper=/opt/example/chrome-sandbox
sudo mkdir -p /etc/pacman.d/hooks
sudo tee "/etc/pacman.d/hooks/$(pacman -Qqo "$helper")-chrome-sandbox.hook" > /dev/null <<HOOK
[Trigger]
Type = Path
Operation = Install
Operation = Upgrade
Target = ${helper#/}

[Action]
Description = Making the Chromium sandbox helper in ${helper%/*} setuid root...
When = PostTransaction
Exec = /usr/bin/chmod 4755 $helper
HOOK
sudo chmod 4755 "$helper"

Cuntrari ad in program d’agid en Voss ordinatur persunal fa quest program d’agid part d’in pachet che pacman ha installà e verifitgà, ed in program d’agid setuid è exactamain la moda, co ch’Arch furnescha Chromium sez.

In program d’agid senza il bit è in defect dal pachet. La datoteca exista mo per esser setuid root e na po far nagut senza quai, ed il program dal pachet sez conferma quai en il messadi survart. E quai n’è er betg ina particularitad da Ditana: l’agen kernel linux-hardened dad Arch deactivescha sco standard ils spazis da num da l’utilisader senza privilegis, e l’Arch Wiki constatescha che las applicaziuns sin basa da Chromium dovran lura il bit setuid sin chrome-sandbox. Annunziai il defect, uschia che la proxima actualisaziun schlia il problem per tut las persunas e ch’il hook na saja betg pli necessari. pacman -Si <package> mussa il repositori da provegnientscha dal pachet; in pachet che pacman -Qm enumerescha deriva percunter da l’AUR:

• Repositori dad Arch: in issue sin https://gitlab.archlinux.org/archlinux/packaging/packages/<package>/-/issues.
• AUR: in commentari sin https://aur.archlinux.org/packages/<package>.
• Repositori da Ditana: in issue sin ditana-build. Ditana construescha quests pachets a partir da recepts da l’AUR e transmetta il rapport a l’AUR.

I gida da menziunar la correctura: installar il program d’agid cun il modus 4755, sco ils pachets chromium ed electron dad Arch.