Awesome GitHub RepositoriesLinux Sandboxes

OrbStack is a native macOS application that replaces Docker Desktop, providing an all-in-one environment for running Docker containers, full Linux virtual machines, and local Kubernetes clusters. It runs Linux VMs directly on the macOS hypervisor framework for near-native performance, uses VirtioFS for fast bidirectional file sharing between macOS and Linux, and leverages Rosetta for near-native x86 emulation on Apple Silicon. The system assigns predictable local domain names to containers and VMs with automatic HTTPS certificate generation, forwards ports via event-driven updates, and stores

Bubblewrap est un utilitaire d'exécution en sandbox non privilégié pour Linux qui isole les processus du système hôte. Il crée des environnements sécurisés en tirant parti des espaces de noms (namespaces) Linux pour séparer les ressources système, y compris les piles réseau, PID et IPC. Le projet se distingue en permettant l'exécution de logiciels non approuvés sans nécessiter de privilèges root sur la machine hôte. Il empêche l'élévation de privilèges en désactivant l'exécution de binaires setuid et utilise le mappage d'identité utilisateur pour isoler les permissions de processus du système d'exploitation hôte. L'outil gère une surface de sécurité complète qui inclut le contrôle d'accès au système de fichiers pour restreindre la visibilité des répertoires et les permissions en lecture seule. Il réduit en outre la surface d'attaque du noyau via le filtrage des appels système seccomp.

Youki is a low-level container runtime written in Rust that creates and manages isolated containers according to Open Container Initiative specifications. It serves as an execution engine that can function as a rootless container manager or a pluggable Kubernetes CRI runtime to manage pods and containers within a cluster. The project distinguishes itself by providing a Wasm container runtime capable of executing WebAssembly modules as isolated workloads compatible with standard orchestration tools. It further supports a rootless execution model, allowing isolated environments to start as non-

Sandstorm is an open-source platform that packages and runs web applications in security-hardened sandboxes on a personal server, functioning as a self-hosted web app operating system. It provides a curated app store where users discover and install sandboxed web applications with one-click ease, while each application runs in an isolated container that uses Linux kernel security features to separate it from the host and other apps. The platform includes a centralized authentication layer so users sign in once and gain access to all installed applications without managing separate accounts per

Firejail is a Linux application sandbox and kernel security wrapper that isolates untrusted applications from the host system. It uses kernel namespaces and seccomp filters to restrict filesystem access, drop kernel capabilities, and limit the system attack surface. The project is distinguished by its use of predefined security profiles to automatically apply filesystem restrictions and syscall limits based on the executable being launched. It provides specialized isolation for portable packages such as AppImages and implements X11 display isolation via proxy servers to prevent keyboard loggi

x11docker est un orchestrateur d'interface graphique pour conteneurs OCI et un pont matériel conçu pour exécuter des applications graphiques et des environnements de bureau complets dans des conteneurs. Il fonctionne comme un bac à sable (sandbox) Linux GUI, reliant les processus conteneurisés aux serveurs d'affichage X11 ou Wayland et aux systèmes audio de l'hôte. Le projet se distingue par une intégration système poussée pour l'accélération matérielle, incluant l'automatisation des pilotes NVIDIA et le GPU passthrough. Il prend en charge l'émulation GUI multi-architecture et offre des capacités d'accès distant via VNC, transfert SSH et rendu HTML5 dans le navigateur. L'outil couvre un large éventail de capacités d'intégration, notamment le mappage d'identité par espaces de noms utilisateur pour la sécurité, le pontage de session D-Bus pour la communication inter-processus et la synchronisation bidirectionnelle du presse-papiers. Il gère également le partage de périphériques tels que webcams et imprimantes, ainsi que la gestion des systèmes init et le montage de stockage persistant. Le logiciel est implémenté sous forme d'utilitaire shell prenant en charge plusieurs backends conformes aux spécifications OCI, dont Docker et Podman.

Bubblewrap is a Linux sandbox runner that creates lightweight, isolated execution environments for running untrusted applications. It combines Linux user, mount, network, PID, and UTS namespaces with seccomp-BPF system call filtering to restrict filesystem, network, process, and inter-process communication access. The project provides comprehensive process isolation by giving each sandbox its own private tmpfs root with selective bind-mounts, a separate network stack containing only a loopback interface, an independent process ID space, and remapped user and group identifiers. It applies secc

Flatpak is a sandboxed application framework and standardized packaging format for Linux desktop applications. It functions as a distribution system that allows a single application bundle to run consistently across multiple Linux operating systems without requiring per-distribution builds. The project provides a runtime dependency manager that bundles specific library versions or shared runtimes to create predictable execution environments. It includes a sandbox permission manager to control application access to system hardware and resources, ensuring security and consistent behavior betwee

Toolbox is a development workspace orchestrator and container environment manager that bootstraps mutable toolsets and SDKs inside containers. It functions as a Linux distribution sandbox and a host-integrated container runtime, allowing users to run native package managers and software without modifying the host operating system. The project differentiates itself by bridging isolated containers with the host system through the mapping of user identities, network sockets, and home directories. It utilizes a daemonless engine to provide these environments while ensuring that system configurati

Isolate est un bac à sable (sandbox) de bas niveau conçu pour exécuter des programmes non fiables dans un environnement strictement contrôlé. Il fonctionne comme un moteur d'isolation de processus qui empêche le code potentiellement malveillant d'interagir avec ou d'endommager le système d'exploitation hôte. L'outil exploite les primitives du noyau Linux, notamment les espaces de noms (namespaces) et les groupes de contrôle (cgroups), pour partitionner les ressources système et imposer des limites d'utilisation matérielle. En appliquant la virtualisation du système de fichiers et le filtrage des appels système, il restreint la visibilité et l'interaction d'un processus avec l'hôte, garantissant que les applications non fiables opèrent uniquement dans des paramètres de sécurité définis. Au-delà du confinement de base, le logiciel fournit des mécanismes de limitation des ressources et de sécurité basée sur les capacités pour gérer la consommation de CPU, de mémoire et d'entrées-sorties. Il prend en charge les tests logiciels sécurisés en créant des environnements éphémères et isolés qui protègent les fichiers système sensibles et le matériel contre tout accès non autorisé.

Dify-sandbox is a secure runtime environment designed for the execution of untrusted code snippets. It functions as a containerized sandbox that isolates processes from the host operating system, ensuring that arbitrary scripts can be run without granting them unauthorized access to sensitive data or critical system resources. The project distinguishes itself through a multi-layered security approach that combines kernel-level isolation with strict resource management. By utilizing Linux namespaces and container-based process isolation, it partitions system resources to maintain visibility bo