В  недавно вышедшей (https://www.opennet.ru/opennews/art.shtml?num=45880) версии GNU screen 4.5.0 обнаружена (https://lists.gnu.org/archive/html/screen-devel/2017-01/msg0...) уязвимость (CVE-2017-5618 (https://security-tracker.debian.org/tracker/CVE-2017-5618)), позволяющая переписать произвольными данными или создать файл с привилегиями root, в случае установки screen с флагом suid root. В большинстве дистрибутивов, например в Debian, Ubuntu, RHEL/CentOS (https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2017-5618), SUSE/openSUSE (https://bugzilla.novell.com/show_bug.cgi?id=CVE-2017-5618), утилита screen не имеет (https://lists.gnu.org/archive/html/screen-devel/2017-01/msg0...) бита setuid, однако имеет setgid для группы utmp. Это уменьшает опасность, однако оставляет возможность перезаписи файлов /var/log/{btmp,wtmp,lastlog}*.

Уязвимость была внесена (http://git.savannah.gnu.org/cgit/screen.git/commit/?h=screen...) при добавлении новой опции "-L", позволяющей указать файл для записи журнала. Открытие файла производится на стадии до понижения привилегий, и если исполняемый файл screen принадлежит пользователю root и имеет setuid-бит, любой пользователь получает возможность перезаписи файла с правами root. Эксплуатация уязвимости сводится к запуску screen с указанием нужного файла в опции "-L".

URL: https://lists.gnu.org/archive/html/screen-devel/2017-01/msg0...
Новость: http://www.opennet.ru/opennews/art.shtml?num=45943

• Уязвимость в GNU Screen 4.5.0,Аноним, 18:22 , 30-Янв-17
  • Уязвимость в GNU Screen 4.5.0,Аноним, 18:31 , 30-Янв-17
• Уязвимость в GNU Screen 4.5.0,Аноним, 18:44 , 30-Янв-17
  • Уязвимость в GNU Screen 4.5.0,Аноним, 19:50 , 30-Янв-17
  • Уязвимость в GNU Screen 4.5.0,rshadow, 21:45 , 30-Янв-17
    • Уязвимость в GNU Screen 4.5.0,A.Stahl, 08:58 , 31-Янв-17
      • Уязвимость в GNU Screen 4.5.0,Аноним, 19:21 , 31-Янв-17
• Уязвимость в GNU Screen 4.5.0,Аноним, 20:13 , 30-Янв-17
• Уязвимость в GNU Screen 4.5.0,Michael Shigorin, 01:37 , 31-Янв-17
  • Уязвимость в GNU Screen 4.5.0,Crazy Alex, 02:02 , 31-Янв-17
    • Уязвимость в GNU Screen 4.5.0,Аноним, 08:35 , 31-Янв-17
      • Уязвимость в GNU Screen 4.5.0,Аноним, 10:45 , 31-Янв-17
  • Уязвимость в GNU Screen 4.5.0,Andrey Mitrofanov, 09:40 , 31-Янв-17
  • Уязвимость в GNU Screen 4.5.0,Аноним, 12:34 , 31-Янв-17
  • Уязвимость в GNU Screen 4.5.0,Sluggard, 13:06 , 31-Янв-17
  • Уязвимость в GNU Screen 4.5.0,SysA, 11:25 , 01-Фев-17
• Уязвимость в GNU Screen 4.5.0,Аноним, 12:45 , 31-Янв-17

Это верно вообще для любой утилиты, принадлежащей root, установленной с suid-битом и имеющей возможность писать в файл.

Не не верно, так как такие утилиты пишут в файл после сброса привилегий. В screen жутко накосячили вставили проверку открытия файла  на запись через fopen(screenlogfile, "w") на этапе разбора опций до сброса привилегий.

Tmux? Tmux!

он уже научился bce?

Я еще могу понять фанатов и холивары linux vs macos vs windows. Но фанаты и холивары tmux vs screen это реально кому-то делать нех***й.

Чем холивар tmux vs screen хуже холивара, скажем, vim vs. emacs?

> Чем холивар tmux vs screen хуже холивара, скажем, vim vs. emacs?

Тем, что vim vs. emacs не холивар, а ересь, ибо божественность emacs несомненна!

Вот поэтому только Tmux.

$ rpm -q screen
screen-4.0.3-alt12.x86_64

В Deabian Stable и то 4.2

У Мишико они святой водой спрыснутые.

Нет, это форк - HolyScreen.

> $ rpm -q screen
> screen-4.0.3-alt12.x86_64

$ ls -l /usr/bin/screen
-rwxr-sr-x 1 root utmp 410688 Сен  3  2015 /usr/bin/screen
$ screen --version
Screen version 4.01.00devel (GNU) 2-May-06

Выиграл, но правльный вопрос -- откуда там вообще suid root-то взялся?

+
Solar Designer http://www.openwall.com/lists/oss-security/2017/01/25/1 =>

"Last but not least, I hope distros don't install screen SUID root these
days.  If any distro does, this is yet another reminder to reconsider.

Some install it SGID utmp.  Some take it a step further - Owl and ALT
Linux install it SGID to group screen, which only grants the ability to
invoke utempter (SGID utmp) and tcp_chkpwd (SGID shadow).  Thus, it'd
take a vulnerability in those other tools to make much use of a screen
vulnerability.  Here's an excerpt from ALT Linux's spec file:"

|
"У тмуксеров и GNU screen suid-root-ый."  Начинаю перепись пострадальцев от своих дистрибутивов: ну, выходи строиться, у кого там оно suid-root-ное (и причисляете ли себя к тмуксерам!1)?? =>>

Кто о чем, а шигорин о своем альте. И как всегда не по теме.

> $ rpm -q screen
> screen-4.0.3-alt12.x86_64

Всё гораздо проще:

$ rpm -q screen
пакет screen не установлен

> $ rpm -q screen
> screen-4.0.3-alt12.x86_64

Gentoo:

app-misc/screen
     Available versions:  4.3.1-r1 4.4.0 ~4.5.0-r1 **9999^t {debug multiuser nethack pam selinux utmp}
     Installed versions:  4.4.0(10:58:59 19/01/17)(pam -debug -multiuser -nethack -selinux)
     Homepage:            https://www.gnu.org/software/screen/
     Description:         screen manager with VT100/ANSI terminal emulation

Т.е. 4.5 маскировано, кто открыл - ССЗБ! :)