tcpdump(1) privilégium elkülönítéssel

Címkék

A tcpdump(1) programnak rossz híre van, számos sebezhetőséget találtak benne az elmúlt időkben. A tcpdump-ot többnyire root jogokkal futtatjuk, hogy a hálózati csatolón keresztülhaladó csomagokat el tudjuk kapni. Ebből kifolyólag a benne levő hibák kihasználása súlyos sebezhetőségnek számít. Az OpenBSD csapat, hogy csökkentse a root-ként futtatott tcpdump(1) rizikóját, módosította a programot úgy, hogy mostantól a csomagok értelmezését mint privilégüm nélküli, chroot-olt folyamat végzi.

A priv sep tcpdump Can Erkin Acar és Otto Moerbeek munkája.

CVS log itt.

Hozzászólások

upgrade esetén létre kell hozni egy _tcpdump csoportot és felhasználót:

# groupadd -g 76 _tcpdump

# vipw

_tcpdump:*:76:76::0:0:tcpdump:/var/empty:/sbin/nologin


ennyi ;)