Helyi felhasználó számára privilégiumszint emelését lehetővé tevő bugot javított a FreeBSD

FreeBSD

Július 7-én fordult Ming Fu a freebsd-net listához egy sendfile-lal összefüggőnek látszó adatkorrupciós problémával. A hiba kivizsgálása nyomán megszületett a FreeBSD-SA-10:07.mbuf figyelmeztető. A hiba a FreeBSD 7.x és azt követő verziókat érinti. Az adatkorrupciós hiba kihasználásával a helyi támadó emelheti privilégiumszintjét. A támadó bármelyik fájlt korrumpálhatja, amelyhez van olvasási hozzáférése. A figyelmeztető kitér arra, hogy ugyan a hiba önmagában csak a helyi támadó számára nyújt támadási felületet, azonban magában hordozza a potenciális adatsérülés lehetőségét, így kritikus erratum-ként kell(ene) kezelni.

[ FreeBSD-SA-10:07.mbuf ]

( dejo v | 2010. 07. 13., k – 08:28 )

A DEC-VMS-ben azt tetszett, hogy bármikor amikor arra szükség volt egy "set proc priv all" paranccsal megadhattam magamnak a legnagyobb privilégiumot.
Mára eljutott ide az Ubuntu is, meg a Windows Vista és 7 is.
Nem tudom a BSD-k hogy állnak ezen a téren?
--
Tertilla; Tisztelem a botladozó embert és nem rokonszenvezem a tökéletessel! Hagyd már abba és kész!

Itt su-nak hívják a parancsot :-)

Mondjuk ha kicsit körbeírnád (itt nyilván off-topic), akkor érteném is. Kétlem, hogy egy bankokban használt rendszeren ez így működik. Azt el tudom képzelni, hogy mondjuk az a "legnagyobb privilégium" annyit jelent, amit a rendszergazda nekem megengedett.

Egyébként mint a fenti hibajegyből is kitűnik, ez a lehetőség a BSD-ken is (OK, FreeBSD-n) fennáll, majd Hunger beírja, hogy hogyan hívják a parancsot :-)

Mondok egy példát. Ahhoz, hogy esete elindítsam az adatbázis mentést (backup dat-magnóra) a felhasználóknak már ki kellett lépni. Ahhoz, hogy be ne tudjanak lépni mentés közben az összes felhasználót, (kivéve az a néhány usert, akik tudták, hogy az adatbázis ilyenkor már tabu), disabled állapotba kellett tenni. Ezt nem lehet azzal a jogosultsággal amit az átlagos napi munkához elégséges. Ehhez előtte meg növelhettem a saját jogosultságomat, így nem kellett egy másik terminálon vagy terminál ablakban systemként bejelentkezni. De ugyanerre volt szükség a felhasználók oprendszer szintű adminisztrálására is.
Itt be is fejeztem.
--
Tertilla; Tisztelem a botladozó embert és nem rokonszenvezem a tökéletessel! Hagyd már abba és kész!

A "Mára eljutott ide" kifejezéssel arra utalta, hogy az Ubuntu kezdte el használni alapértelmezetten a sudo-t adminisztrációs célokra illetve a Windows a Vista-tól kezdve alkalmazza a felhasználói fiókok felügyelete, nevű módszert, ami mind kettő a privilégiumok kontrollált megnövelésére használatos.

--
Tertilla; Tisztelem a botladozó embert és nem rokonszenvezem a tökéletessel! Hagyd már abba és kész!