Z-Jail: 依存関係ゼロ、7層防御を備えた130KBのLinuxサンドボックス(C99)

Z-Jailは、Linux上でネイティブコード実行のための多層サンドボックスであり、外部依存関係なしに約130KBのPIEバイナリで7つの独立した防御層を提供します。主な機能には、マウント、PID、ネットワーク、IPC、UTSの名前空間、pivot_root、全ケーパビリティの削除、NO_NEW_PRIVS、および15のシステムコールのみを許可するseccomp-BPFが含まれます。実行されたバイナリに関する証拠に基づいた判定エンジンも備え、JSON形式の監査ログとBLAKE2bハッシュによるコンテンツフィンガープリントを生成します。CIパイプライン、CTF、軽量コード評価向けに設計されており、bwrapとnsjailの中間に位置します。Linuxカーネル5.4以上とGCC 11以上が必要です。