https://www.opennet.me/openforum/vsluhforumID3/116189.html В представленном (https://gitlab.gnome.org/GNOME/gvfs/commit/c7b018d11b9aae5dea4fa436710f0bce78747978) 3 года назад GVFS-бекенде admin (GNOME Virtual File System) обнаружена критическая уязвимость (https://gitlab.gnome.org/GNOME/gvfs/issues/355), позволяющая непривелигированным пользователям без запроса пароля вносить любые правки в файловую систему с правами root.<br><br><br>Для повышения прав без запроса пароля достаточно принудительно завершить процесс графического агента аутентификации polkit. Указанный процесс работает с правами текущего пользователя, что позволяет завершить его без наличия дополнительных привилегий. Так как бэкенд admin корректно не обрабатывает ситуацию недоступности polkit, который применяется для определения имеющихся у пользователя дополнительных полномочий, после прекращения работы процесса polkit, например, достаточно запустить "nautilus admin:///root" для доступа к /root или "gedit admin:///etc/sudoers" для редактирования /etc/sudoers, не имея на это полномочий. <br><br><br><br>Стоит отмети https://www.opennet.me/openforum/vsluhforumID3/116189.html#87 Wed, 02 Jan 2019 17:31:38 GMT &gt; непривилегированным пользователям, присутствующим в группе wheel<br><br>чиго, простите? если пользователь в wheel то, он - привелигированый и сможет получить рута и другими способами.<br> https://www.opennet.me/openforum/vsluhforumID3/116189.html#86 Wed, 02 Jan 2019 06:51:23 GMT (На правах моего скромного мнения. Я не специалист по безопафосности и погромированию.)<br><br>Агент нужен, чтобы пользователь подтвердил, что не верблюд.<br>$ man polkit<br>&gt; An authentication agent is used to make the user of a session prove that the user of the session really is the user (by authenticating as the user) or an administrative user (by authenticating as a administrator).<br><br>По задумке, если авторизация процесса не прошла из-за недоступности агента, то она считается проваленной.<br>$ man pkcheck<br>&gt; If the specified process is not authorized because no suitable authentication agent is available or if the --allow-user-interaction wasn't passed, pkcheck exits with a return value of 2 and a diagnostic message is printed on standard error.<br><br>При беглом осмотре, вызывает подозрения этот код (https://gitlab.gnome.org/GNOME/gvfs/blob/master/daemon/gvfsbackendadmin.c#L133):<br>&gt; is_authorized = polkit_authorization_result_get_is_authorized (result) &#124;&#124; polkit_authorization_result_get_is_challenge (result); https://www.opennet.me/openforum/vsluhforumID3/116189.html#85 Tue, 01 Jan 2019 11:06:43 GMT В качестве временного решения предлагаю:<br><br># tee /etc/pacman.d/hooks/gvfs.hook 1&gt;/dev/null &lt;&lt; 'EOF'<br>[Trigger]<br>Operation = Install<br>Operation = Upgrade<br>Type = File<br>Target = usr/share/polkit-1/rules.d/org.gtk.vfs.file-operations.rules<br><br>[Action]<br>Description = Restrict gvfs-admin...<br>When = PostTransaction<br>Exec = /bin/sed -i 's~polkit\.Result\.YES~polkit.Result.AUTH_ADMIN~g' /usr/share/polkit-1/rules.d/org.gtk.vfs.file-operations.rules<br>EOF<br># pacman -U /var/cache/pacman/pkg/gvfs-*<br># pkill gvfsd-admin<br> https://www.opennet.me/openforum/vsluhforumID3/116189.html#84 Sun, 30 Dec 2018 19:03:25 GMT Ха только не давно была дыра в polkit когда можно было рутом стать через systemd. Развелось этих судо, никогда не знаешь где ждать сюрприз...<br> https://www.opennet.me/openforum/vsluhforumID3/116189.html#83 Sun, 30 Dec 2018 13:03:04 GMT А зачем пытаться делать лучше что-то что уже broken beyond repair?<br>А глумление над пользователями гнома преследует очень важную цель - острацизм социальных групп использующих software broken beyond repair. Любой пользователь гнома должен понимать и осознавать по какой причине к нему относятся как к умственно-отсталому.<br> https://www.opennet.me/openforum/vsluhforumID3/116189.html#82 Sun, 30 Dec 2018 12:22:27 GMT Проблемы личинок шерифа не волнуют. <br> https://www.opennet.me/openforum/vsluhforumID3/116189.html#81 Sun, 30 Dec 2018 09:45:58 GMT Не во всех дистрибутивах настолько криворукие мейнтейнеры.<br> https://www.opennet.me/openforum/vsluhforumID3/116189.html#80 Sun, 30 Dec 2018 08:33:50 GMT Ну конечно были. KDE-шники молодцы, что DCOP запускается (запускался) с сессией KDE, а не через /etc/init.d/dcop. В GNOME так делает, например, PulseAudio, а Dbus - от root<br> https://www.opennet.me/openforum/vsluhforumID3/116189.html#79 Sun, 30 Dec 2018 01:16:54 GMT Подтверждено соответствие спецификации. Т.е. если делать с L4 только то, что предусмотрено спецификацией, сюрпризов быть не должно. Не более.<br>