[devel] nologin
Dmitry V. Levin
=?iso-8859-1?q?ldv_=CE=C1_altlinux=2Eorg?=
Пн Мар 3 13:40:39 MSK 2008
On Mon, Mar 03, 2008 at 12:38:15PM +0200, Kirill A. Shutemov wrote:
> On [Wed, 19.09.2007 17:53], Dmitry V. Levin wrote:
> > On Wed, Sep 19, 2007 at 04:30:03PM +0300, Kirill A. Shutemov wrote:
> > > On [Wed, 19.09.2007 17:19], Dmitry V. Levin wrote:
> > > > On Wed, Sep 19, 2007 at 04:14:33PM +0300, Kirill A. Shutemov wrote:
> > [...]
> > > > > nologin.c: Rewrite without glibc at all (#10729)
> > > > >
> > > > > Не совсем понятно зачем и как это могло пофиксить баг. Можно ли вернуть
> > > > > обратно glibc?
> > > >
> > > > Если вернуть обратно glibc, то вернётся #10729.
> > >
> > > А что является причиной этого бага?
> >
> > Неправильная статическая линковка без libc.
>
> Если собрать с -nostartfiles не статикой, риск сохранится?
Если сохранить dynamic linker, то сохранится.
Разве что сделать nologin sgid'ным.
Но раньше было проще слинковать nologin статически.
> > Зачем нужно линковать nologin без libc? Приведу цитату (лень переводить):
> >
> > "The dynamic linker and libc startup code checks a number of environment
> > variables, which may seriously alter the behavior of the starting
> > program - up to execution of arbitrary code (other than that found in
> > the program). Login services such as telnetd/login and sshd allow for
> > initial environment variables to be passed from the remote. This has
> > actually been used to break into systems in the past.
> >
> > Now, modern/patched versions of login services use whitelists of
> > known-safe environment variables - and allow only for those environment
> > variables to be passed from the remote.
> >
> > But we can feel a little bit safer if our disabled accounts' "shells"
> > would not be subject to this risk at all - and the only currently
> > practical way to achieve that is to avoid the use of the dynamic linker
> > and libc."
--
ldv
----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя : =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Тип : application/pgp-signature
Размер : 197 байтов
Описание: =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Url : <http://lists.altlinux.org/pipermail/devel/attachments/20080303/1e1a7ffa/attachment-0002.bin>
Подробная информация о списке рассылки Devel