| 1.4, PavelR (??), 17:28, 01/05/2014 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
И как они это пофиксили? Баг помечен "приватным", конечно, супердыра жеж - надо скрыть, что по дефолту теперь не 666 а 660, да.
Прописывать "listen.mode = 0660" уже не в почете, понимаю, да.
Или они как-то по-другому это поправили и теперь "локальный пользователь, даже имеющий доступ к UNIX-сокету php-fpm, по умолчанию созданному с правами 0666, _НЕ СМОЖЕТ_ выполнить произвольный PHP-код с правами работающего пула процессов" ??
| | |
| 1.9, EuPhobos (ok), 23:42, 01/05/2014 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Что за глупость, само собой если процесс запущен от некого пользователя и пул доступен всем, код будет выполнен от запустившего этот процесс..
| | |
| |
| 2.10, Аноним (-), 08:21, 02/05/2014 [^] [^^] [^^^] [ответить]
| +/– |
> Что за глупость, само собой если процесс запущен от некого пользователя и
> пул доступен всем, код будет выполнен от запустившего этот процесс..
fpm запускает php-скрипты пользователей с правами этих пользователей. Уязвимость позволяет обойти ограничение на запуск скрипта только под своими правами.
| | |
| |
| 3.11, www2 (??), 14:09, 02/05/2014 [^] [^^] [^^^] [ответить]
| +/– | |
Но ведь это же костыли. Раз админ назначил такие права - значит это либо нужно, либо он сам дурак. Запрещать делать опасное нормальным админам только лишь для того, чтобы идиоты не выстрелили себе в ногу - ненормальная практика. Может быть именно это админ и имел в виду - дать всем локальным пользователям, например, менять свой пароль. Или перемонтировать диски (мало ли).
А тут кто-то решает, что так делать нельзя, потому что есть толпа дураков, которые не осознают опасности и дают доступ всем на всё подряд. После этого для дураков всё остаётся как и прежде, только разумным людям теперь приходится прилагать дополнительные усилия, чтобы обеспечить штатную работу системы (например - включать всех пользователей в специально созданную для этого группу).
| | |
| 3.12, Sw00p aka Jerom (?), 15:04, 02/05/2014 [^] [^^] [^^^] [ответить]
| +/– | |
>обойти ограничение на запуск скрипта только под своими правами.
как так, если socket owner явно указан? дело в правах на запись остальным пользователям
| | |
|
|
|
