forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Уязвимость в sudo, позволяющая повысить привилегии при испол..., opennews (ok), 15-Окт-19, (0) [смотреть все]

Вот уже несколько раз лет за 5 примерно в sudo уязвимости В su такого не встреч, ryoken (ok), 09:10 , 15-Окт-19, (1) +15 //

Сейчас тебе кое-кто накрутит отрицательный рейтинг, и напишет тебе эмоциональное, Zenitur (ok), 09:15 , 15-Окт-19, (3) +1 //

На это денег сегодня не выделяли , Аноним (5), 09:27 , 15-Окт-19, (5) +8
Куда интереснее ждать доводы фанатов OpenBSD в пользу doas , имя (ok), 09:33 , 15-Окт-19, (6) +4 //

Один разработчик опенбсд он же по совпадению разработчик sudo уже наломал дров , Аноним (8), 09:37 , 15-Окт-19, (8)
doas действительно хорош, там даже не сконфигурируешь как в этой статье, OpenBSD (?), 12:55 , 15-Окт-19, (50) +1
уже 5 лет на OpenBSD здесь не бывает проблем код чистый и минимальный так что , OpenBSD guy (?), 15:37 , 15-Окт-19, (65) –7

Ага, нет кода - нет проблем Сферическая OpenBSD в вакууме, вроде и есть, но не , Аноним (66), 15:47 , 15-Окт-19, (66) +3

Если выкинуть из линукса все разработки OpenBSD, то останется в нём только систе, Stoned Jesus (?), 23:35 , 15-Окт-19, (92) –6

Не пользуюсь судо уже лет 15, фигня это всё, убунтятам промыли мозги эффективные, Аноним (9), 09:39 , 15-Окт-19, (9) –1 //

Честно говоря, я так и не осилил PolicyKit Сейчас объясню Когда я обновил SUS, Zenitur (ok), 10:12 , 15-Окт-19, (19) +4 //

Синьор таки разучился читать и писать текст в файл Всё-то бы вам, хипстерам, js, Аноним (20), 10:15 , 15-Окт-19, (20) –2

Офигенно это сарказм был, Zenitur (ok), 10:32 , 15-Окт-19, (21) –2
Ты отстал от жизни, теперь там интерпретатор javascript , Аноним (25), 10:45 , 15-Окт-19, (25) +3

jit немного напрягает, я его всегда отключаю, Аноним (9), 11:23 , 15-Окт-19, (39)
В PolicyKit 8212 нет Только в polkit , Аноним (78), 19:02 , 15-Окт-19, (78)

Так в этом же и смысл , Аноним (91), 23:19 , 15-Окт-19, (91)

например, дать возможность обычному юзеру вызывать poweroff и reboot из коман, Аноним (55), 13:23 , 15-Окт-19, (55) +1 //

systemctl poweroff systemctl rebootне благодари , Archevod (?), 19:10 , 15-Окт-19, (82) –1

А как запретить , Аноним (95), 23:41 , 15-Окт-19, (95)

Так ведь это просто утилиты разного класса Да, обе используются для эскалации п, freehck (ok), 10:45 , 15-Окт-19, (27) +14 //

su кстати не работает без добавления в группу wheel что за группа sudo такая я , Аноним (9), 11:22 , 15-Окт-19, (37) //

что, серьезно Вы что, только со слаквари перешли на нормальный дистрибутив и, Stax (ok), 11:39 , 15-Окт-19, (42) +2

Я тоже удивился, не для того я себе логинд ставил как кстати сделать чтобы сесс, Аноним (9), 12:00 , 15-Окт-19, (44)

Зависит от прав на бинарник -- в альте так из коробки, что обеспечивается устано, Michael Shigorin (ok), 12:27 , 15-Окт-19, (47) –2

Интересно Такие права не пойдут , Аноним (9), 12:38 , 15-Окт-19, (48) –2

Перевожу права на запуск данного suid-ного бинарника есть у всех , Michael Shigorin (ok), 12:43 , 15-Окт-19, (49) –2

Рута то этот su всё равно не даёт, если пользователь не в wheel , Аноним (9), 12:58 , 15-Окт-19, (51) –2

Даёт, если только у тебя не какой-то экзотический su , Аноним (78), 19:05 , 15-Окт-19, (79)

Проверьте права доступа на бинарь su в вашем дистре Если говорить простым языком, freehck (ok), 13:20 , 15-Окт-19, (53)

Я даже знаю дисрибутив FreeBSD , Аноним (70), 16:46 , 15-Окт-19, (70)

Это не 171 дисрибутив 187 , это ОС , Аноним (78), 19:06 , 15-Окт-19, (80) –1

Ок Казалось бы, причём тут Berkley software distribution, Аноним (83), 19:25 , 15-Окт-19, (83) +1

rootpw If set, sudo will prompt for the root password instead of the, ievoochielaPh5Ph (ok), 15:53 , 15-Окт-19, (67) +1 //

Ммм, век живи, век учись Не был в курсе про эти опции Впрочем, я слабо предста, freehck (ok), 16:48 , 15-Окт-19, (72) +2

Вот буквально недавно один знакомый интересовался в ФБ а можно ли так, у него us, ievoochielaPh5Ph (ok), 17:02 , 15-Окт-19, (74) +2
Включить по умолчанию в своём нескучном дистрибутиве, чтобы юзеры бдительность н, Аноним (78), 19:08 , 15-Окт-19, (81) +4

Вот Я помню, что в каком-то дистре было Спасибо тебе, добрый аноним , ievoochielaPh5Ph (ok), 20:08 , 15-Окт-19, (88)

Чтобы написать такую конструкцию, нужно быть упоротым на всю голову ИМХО Неодно, Ilya Indigo (ok), 11:04 , 15-Окт-19, (34) +3 //

да это, по сути своей, и есть костыли когда в системе добавляется удаляется юзе, InuYasha (?), 11:36 , 15-Окт-19, (41) //

Мне такое неведомо Могу понять что на говнохостингах чтобы добавлялся, но чтобы, Ilya Indigo (ok), 11:48 , 15-Окт-19, (43) –1

Я вообще не вижу смысла в подобной команде Зачем что-то запрещать руту Он и бе, Аноним (61), 14:56 , 15-Окт-19, (61) //

В том-то и дело, что sudo ничего не запрещает, тем более руту Она наоборот, разр, Ilya Indigo (ok), 15:00 , 15-Окт-19, (63)

упртый на всю голову написал эту конструкцию возможность ее создания в код sud, Аноним (69), 16:38 , 15-Окт-19, (69) //

Я с Вами полностью согласен Я даже, до сегодняшнего дня, не знал что так вообще , Ilya Indigo (ok), 16:47 , 15-Окт-19, (71) –1

Не фанат sudo, но suid бит не всегда работает корректно , Аноним (56), 14:22 , 15-Окт-19, (56) –1
Как без sudo разрешить выполнить определенную команду определенным пользователем, Аноним (61), 14:53 , 15-Окт-19, (60) –1 //

Разрешить выполнять группе chmod 750 program, chgrp mygroup program Если нужно, Павел Отредиез (?), 18:48 , 16-Окт-19, (99)

В гентушечке тоже уже 1 8 28, Аноним (2), 09:13 , 15-Окт-19, (2) //

В гентушечке есть doas, nm0i (ok), 10:42 , 15-Окт-19, (23) –1 //

Нету Только что проверил , Владимир Романов (?), 10:57 , 15-Окт-19, (33) –3 //

https packages gentoo org packages app-admin doasТам нет персиста возможно к , Аноним (35), 11:14 , 15-Окт-19, (35)

Персист в openbsd сделан ч з timeout 9 В обоих портируемых форках doas он есть, nm0i (ok), 11:23 , 15-Окт-19, (38) +1

Все чуть интереснее if persist fd open dev tty , O_, Аноним (25), 11:30 , 15-Окт-19, (40) +2

Да, из-за этого doas портирован не полностью, этот вызов есть только в OpenBSD , abi (?), 14:31 , 15-Окт-19, (57)

Любые спец значения и остроумная магия - это всегда будущие проблемы , Аноним (4), 09:25 , 15-Окт-19, (4) +6 //

Учитывая что по официальной легенде программу разрабатывает один человек там еще, Аноним (8), 09:36 , 15-Окт-19, (7) +1

не зря Поттеринг machinectl shell запилил , Аноним (10), 09:40 , 15-Окт-19, (10) –3
Сито же Кстати говоря, если в Debian-based вы не можете удалить sudo, потому что, Аноним (20), 09:49 , 15-Окт-19, (13) //

решилЮ что это не security issue, Аноним (20), 09:50 , 15-Окт-19, (14) –1

Ох уж эти коварные типы данных , Anonymoustus (ok), 09:52 , 15-Окт-19, (15) +5 //

По моему типы данных тут ни при чём, просто упустили момент что setreuid использ, Аноним (95), 23:58 , 15-Окт-19, (96) +1

Во фре еще вчера обновили 14 Oct 2019 16 46 28Original commit files touched by t, Аноним (18), 10:08 , 15-Окт-19, (18) –1
По-моему, sudo - это одна сплошная уязвимость Объясните дураку - как с помощью s, Аноним (22), 10:36 , 15-Окт-19, (22) –4 //

SELINUX, Роман (??), 10:42 , 15-Окт-19, (24) –1 //

И sudo - turn off selinux - profit , Аноним (22), 10:46 , 15-Окт-19, (28) +1 //

SELINUX RBAC, Hedd_ (?), 22:03 , 18-Окт-19, (104)

включая возможность рута расковырять хекс едитором файловую систему и поправить , aa (?), 10:45 , 15-Окт-19, (26) +3 //

естессно , Аноним (22), 10:47 , 15-Окт-19, (29)

для начала надо понять что у рута нет прав , ыы (?), 10:51 , 15-Окт-19, (30) –3 //

ога Одни обязанности От игры словами суть вопроса не меняется Пока что пра, Аноним (22), 10:54 , 15-Окт-19, (31) +1 //

Я думаю можно мандатным контролем доступа ограничить много чего, или там сделать, Аноним (9), 11:19 , 15-Окт-19, (36)

7 CVE за сорок лет , ананимус (?), 12:20 , 15-Окт-19, (46) +2
Никак, имея все кроме , можно придумать миллион способов достичь желаемого Подх, Аноним (61), 14:59 , 15-Окт-19, (62) –1 //

Борцы за идеальную безопасность забывают, что бывают другие задачи От защиты от, Crazy Alex (ok), 19:31 , 15-Окт-19, (85) +1

хранить хеш рута за пределами системы реализация этого на практике предоставляе, Михрютка (ok), 20:40 , 15-Окт-19, (89) +1 //

В качестве домашнего упражнения - осмысли процесс отделения котлеты хеша рута от, Аноним (22), 13:18 , 16-Окт-19, (98)

Так вот для кого google рута ограничивает нашёлся , Аноним (95), 00:01 , 16-Окт-19, (97)

ыыыы какая прелесть , Аноним (32), 10:54 , 15-Окт-19, (32) +1
Еще вчера https www freshports org security sudo , анонн (ok), 12:00 , 15-Окт-19, (45) –1
Не думаю, что такие странные правила много где использовались , Аноним (54), 13:21 , 15-Окт-19, (54)
Чего-то не понял что такого особенного в root А если просто перечислить целевы, rihad (ok), 14:47 , 15-Окт-19, (58) //

Обязательно должно присутствовать ALL Просто если там нет root, то это notabag, Ordu (ok), 01:03 , 17-Окт-19, (101) +1

Большое упущение sudo что невозможно в пути, которые даются аргументами командам, rihad (ok), 14:51 , 15-Окт-19, (59)
Описание самой 171 уязвимости 187 мне напоминает анекдот про 171 а вы на ш, ievoochielaPh5Ph (ok), 16:00 , 15-Окт-19, (68)
В каких дистрах не используется sudo , Аноним (70), 16:54 , 15-Окт-19, (73) //

В любом можешь не использовать Вот просто в любом , ievoochielaPh5Ph (ok), 17:03 , 15-Окт-19, (75)

sudu su наше все , анонимммнн (?), 22:46 , 15-Окт-19, (90)

Сообщения [Сортировка по времени | RSS]

2. "Уязвимость в sudo, позволяющая повысить привилегии при испол..." +/–

Сообщение от Аноним (2), 15-Окт-19, 09:13

В гентушечке тоже уже 1.8.28

Ответить | Правка | Наверх | Cообщить модератору

23. "Уязвимость в sudo, позволяющая повысить привилегии при испол..." –1 +/–

Сообщение от nm0i (ok), 15-Окт-19, 10:42

В гентушечке есть doas

Ответить | Правка | Наверх | Cообщить модератору

33. "Уязвимость в sudo, позволяющая повысить привилегии при испол..." –3 +/–

Сообщение от Владимир Романов (?), 15-Окт-19, 10:57

Нету. Только что проверил :).

Ответить | Правка | Наверх | Cообщить модератору

35. "Уязвимость в sudo, позволяющая повысить привилегии при испол..." +/–

Сообщение от Аноним (35), 15-Окт-19, 11:14

https://packages.gentoo.org/packages/app-admin/doas
Там нет персиста (возможно к лучшему)

Ответить | Правка | Наверх | Cообщить модератору

38. "Уязвимость в sudo, позволяющая повысить привилегии при испол..." +1 +/–

Сообщение от nm0i (ok), 15-Окт-19, 11:23

Персист в openbsd сделан ч/з timeout(9). В обоих портируемых форках doas он есть, но ч/з костыли. В апстриме doas что в гентушечке его можно включить через --with-timestamp

Ответить | Правка | Наверх | Cообщить модератору

40. "Уязвимость в sudo, позволяющая повысить привилегии при испол..." +2 +/–

Сообщение от Аноним (25), 15-Окт-19, 11:30

Все чуть интереснее:

        if (persist)
                fd = open("/dev/tty", O_RDWR);
        if (fd != -1) {
                if (ioctl(fd, TIOCCHKVERAUTH) == 0)
                        goto good;
        }
Вот этот ioctl() проверяет закешированные в ядре креды для конкретного юзера с конкретным tty. То есть весь persist по сути реализован в kernel space.

Ответить | Правка | Наверх | Cообщить модератору

57. "Уязвимость в sudo, позволяющая повысить привилегии при испол..." +/–

Сообщение от abi (?), 15-Окт-19, 14:31

Да, из-за этого doas портирован не полностью, этот вызов есть только в OpenBSD.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

2. "Уязвимость в sudo, позволяющая повысить привилегии при испол..."	+/–
Сообщение от Аноним (2), 15-Окт-19, 09:13
В гентушечке тоже уже 1.8.28
Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Уязвимость в sudo, позволяющая повысить привилегии при испол..."	–1 +/–
	Сообщение от nm0i (ok), 15-Окт-19, 10:42
	В гентушечке есть doas
	Ответить \| Правка \| Наверх \| Cообщить модератору


	33. "Уязвимость в sudo, позволяющая повысить привилегии при испол..."	–3 +/–
	Сообщение от Владимир Романов (?), 15-Окт-19, 10:57
	Нету. Только что проверил :).
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "Уязвимость в sudo, позволяющая повысить привилегии при испол..."	+/–
	Сообщение от Аноним (35), 15-Окт-19, 11:14
	https://packages.gentoo.org/packages/app-admin/doas Там нет персиста (возможно к лучшему)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	38. "Уязвимость в sudo, позволяющая повысить привилегии при испол..."	+1 +/–
	Сообщение от nm0i (ok), 15-Окт-19, 11:23
	Персист в openbsd сделан ч/з timeout(9). В обоих портируемых форках doas он есть, но ч/з костыли. В апстриме doas что в гентушечке его можно включить через --with-timestamp
	Ответить \| Правка \| Наверх \| Cообщить модератору


	40. "Уязвимость в sudo, позволяющая повысить привилегии при испол..."	+2 +/–
	Сообщение от Аноним (25), 15-Окт-19, 11:30
	Все чуть интереснее: if (persist) fd = open("/dev/tty", O_RDWR); if (fd != -1) { if (ioctl(fd, TIOCCHKVERAUTH) == 0) goto good; } Вот этот ioctl() проверяет закешированные в ядре креды для конкретного юзера с конкретным tty. То есть весь persist по сути реализован в kernel space.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	57. "Уязвимость в sudo, позволяющая повысить привилегии при испол..."	+/–
	Сообщение от abi (?), 15-Окт-19, 14:31
	Да, из-за этого doas портирован не полностью, этот вызов есть только в OpenBSD.
	Ответить \| Правка \| Наверх \| Cообщить модератору