Awesome GitHub RepositoriesLinux Sandboxes

OrbStack is a native macOS application that replaces Docker Desktop, providing an all-in-one environment for running Docker containers, full Linux virtual machines, and local Kubernetes clusters. It runs Linux VMs directly on the macOS hypervisor framework for near-native performance, uses VirtioFS for fast bidirectional file sharing between macOS and Linux, and leverages Rosetta for near-native x86 emulation on Apple Silicon. The system assigns predictable local domain names to containers and VMs with automatic HTTPS certificate generation, forwards ports via event-driven updates, and stores

Bubblewrap este un utilitar de execuție sandbox neprivilegiat pentru Linux care izolează procesele de sistemul gazdă. Acesta creează medii securizate prin utilizarea namespace-urilor Linux pentru a separa resursele sistemului, inclusiv stivele de rețea, PID și IPC. Proiectul se distinge prin permiterea execuției software-ului neîncredere fără a necesita privilegii de root pe mașina gazdă. Previne escaladarea privilegiilor prin dezactivarea execuției binarelor setuid și utilizează maparea identității utilizatorului pentru a izola permisiunile procesului de sistemul de operare gazdă. Instrumentul gestionează o suprafață de securitate cuprinzătoare care include controlul accesului la sistemul de fișiere pentru restricționarea vizibilității directoarelor și permisiuni read-only. De asemenea, reduce suprafața de atac a kernel-ului prin filtrarea apelurilor de sistem seccomp.

Youki is a low-level container runtime written in Rust that creates and manages isolated containers according to Open Container Initiative specifications. It serves as an execution engine that can function as a rootless container manager or a pluggable Kubernetes CRI runtime to manage pods and containers within a cluster. The project distinguishes itself by providing a Wasm container runtime capable of executing WebAssembly modules as isolated workloads compatible with standard orchestration tools. It further supports a rootless execution model, allowing isolated environments to start as non-

Sandstorm is an open-source platform that packages and runs web applications in security-hardened sandboxes on a personal server, functioning as a self-hosted web app operating system. It provides a curated app store where users discover and install sandboxed web applications with one-click ease, while each application runs in an isolated container that uses Linux kernel security features to separate it from the host and other apps. The platform includes a centralized authentication layer so users sign in once and gain access to all installed applications without managing separate accounts per

Firejail is a Linux application sandbox and kernel security wrapper that isolates untrusted applications from the host system. It uses kernel namespaces and seccomp filters to restrict filesystem access, drop kernel capabilities, and limit the system attack surface. The project is distinguished by its use of predefined security profiles to automatically apply filesystem restrictions and syscall limits based on the executable being launched. It provides specialized isolation for portable packages such as AppImages and implements X11 display isolation via proxy servers to prevent keyboard loggi

x11docker este un orchestrator de containere OCI cu interfață grafică și o punte hardware concepută pentru a rula aplicații grafice și medii desktop complete în interiorul containerelor. Acesta funcționează ca un sandbox Linux GUI, conectând procesele containerizate la serverele de afișare X11 sau Wayland și la sistemele audio ale gazdei. Proiectul se diferențiază prin integrarea profundă a sistemului pentru accelerare hardware, inclusiv automatizarea driverelor NVIDIA și GPU passthrough. Suportă emularea GUI cross-architecture și oferă capabilități de acces la distanță prin VNC, SSH forwarding și randare HTML5 în browser. Instrumentul acoperă o gamă largă de capabilități de integrare, inclusiv maparea identității prin user-namespace pentru securitate, bridging pentru sesiuni D-Bus pentru comunicarea între procese și sincronizarea bidirecțională a clipboard-ului. De asemenea, gestionează partajarea perifericelor precum camere web și imprimante, precum și gestionarea sistemelor init și montarea stocării persistente. Software-ul este implementat ca un utilitar bazat pe shell care suportă mai multe backend-uri compatibile OCI, inclusiv Docker și Podman.

Bubblewrap is a Linux sandbox runner that creates lightweight, isolated execution environments for running untrusted applications. It combines Linux user, mount, network, PID, and UTS namespaces with seccomp-BPF system call filtering to restrict filesystem, network, process, and inter-process communication access. The project provides comprehensive process isolation by giving each sandbox its own private tmpfs root with selective bind-mounts, a separate network stack containing only a loopback interface, an independent process ID space, and remapped user and group identifiers. It applies secc

Flatpak is a sandboxed application framework and standardized packaging format for Linux desktop applications. It functions as a distribution system that allows a single application bundle to run consistently across multiple Linux operating systems without requiring per-distribution builds. The project provides a runtime dependency manager that bundles specific library versions or shared runtimes to create predictable execution environments. It includes a sandbox permission manager to control application access to system hardware and resources, ensuring security and consistent behavior betwee

Toolbox is a development workspace orchestrator and container environment manager that bootstraps mutable toolsets and SDKs inside containers. It functions as a Linux distribution sandbox and a host-integrated container runtime, allowing users to run native package managers and software without modifying the host operating system. The project differentiates itself by bridging isolated containers with the host system through the mapping of user identities, network sockets, and home directories. It utilizes a daemonless engine to provide these environments while ensuring that system configurati

Isolate este un sandbox de nivel scăzut conceput pentru a executa programe neîncrezătoare într-un mediu strict controlat. Acesta funcționează ca un motor de izolare a proceselor care previne codul potențial dăunător să interacționeze cu sau să deterioreze sistemul de operare gazdă. Instrumentul folosește primitivele kernel-ului Linux, inclusiv namespace-uri și control groups (cgroups), pentru a partiționa resursele sistemului și a impune limite de utilizare a hardware-ului. Prin aplicarea virtualizării sistemului de fișiere și a filtrării apelurilor de sistem, acesta restricționează vizibilitatea și interacțiunea unui proces cu gazda, asigurând că aplicațiile neîncrezătoare operează doar în parametri de securitate definiți. Dincolo de izolarea de bază, software-ul oferă mecanisme pentru limitarea resurselor și securitate bazată pe capabilități pentru a gestiona consumul de CPU, memorie și input-output. Acesta suportă testarea securizată a software-ului prin crearea de medii efemere, izolate, care protejează fișierele sensibile ale sistemului și hardware-ul de accesul neautorizat.

Dify-sandbox is a secure runtime environment designed for the execution of untrusted code snippets. It functions as a containerized sandbox that isolates processes from the host operating system, ensuring that arbitrary scripts can be run without granting them unauthorized access to sensitive data or critical system resources. The project distinguishes itself through a multi-layered security approach that combines kernel-level isolation with strict resource management. By utilizing Linux namespaces and container-based process isolation, it partitions system resources to maintain visibility bo