[linux-l] Sicherheitsluecke durch Filedescriptors?

[Hauke Laging]

Am Mi 30.01.2013, 14:21:04 schrieb Benjamin Schieder:

> Wenn ich jetzt folgenden Befehl ausfuehre, erhalte ich allerdings doch
> den Inhalt des error.log, obwohl ich eigentlich keine Zugriffsrechte
> darauf habe:

> blindcoder at pallas:~$ ls -l /proc/1331/fd

> l-wx------ 1 blindcoder blindcoder 64 2013-01-30 04:23 1 ->
> /var/log/apache2/error.log

Man beachte: "wx" (warum x?), *nicht* "r".


> blindcoder at pallas:~$ head /proc/1331/fd/1

> Ist das eine Sicherheitsluecke? Muss das so sein? KANN das vielleicht
> gar nicht anders sein? Sehe ich Gespenster?

Dass privilegierte Prozesse missbraucht werden können, ist erst mal nicht 
spektakulär. Man muss halt wissen, was man mit der Technik macht. Man darf 
dann eben nicht mittels der Privilegien Zugriff erlangen und diesen Zugriff in 
die Shpäre eines Benutzers holen, der keinen Zugriff haben soll. Idealerweise 
müsste man jeden Prozess als anderen Benutzer laufen lassen. Keine Ahnung, ob 
das mit suexec geht.

Ggf. muss man halt /proc für Apache mittels SELinux, AppArmor o.Ä. sperren.

Was ich nicht begreife: Wieso kannst Du als User blindcoder(?) /proc/1331/fd 
lesen, obwohl dieser User explizit kein Leserecht für diese Datei hat! Also 
für die Gespenster +1 von mir...


Hauke
-- 
☺
PGP: 7D82 FB9F D25A 2CE4 5241 6C37 BF4B 8EEF 1A57 1DF5 (seit 2012-11-04)
http://www.openpgp-schulungen.de/
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname   : signature.asc
Dateityp    : application/pgp-signature
Dateigröße  : 572 bytes
Beschreibung: This is a digitally signed message part.
URL         : <https://mlists.in-berlin.de/pipermail/linux-l-mlists.in-berlin.de/attachments/20130130/2a9674ea/attachment.sig>