33479 2017-05-15 18:13:44 +0300 Добавить SUID-бит у ksu 2018-10-24 18:41:47 +0300 1 1 4 Development Sisyphus krb5-kinit unstable all Linux CLOSED FIXED https://bugzilla.redhat.com/show_bug.cgi?id=122731 P3 normal --- 1 snejok iv iv ldv rider shaba sin qa-sisyphus oldest_to_newest 163683 0 snejok 2017-05-15 18:13:44 +0300 Добавить SUID-бит у ksu Сейчас ksu невозможно использовать, нет SUID-бита # rpm -qplv altrepos/Sisyphus/x86_64/RPMS.classic/krb5-kinit-1.14.5-alt1.S1.x86_64.rpm | grep /usr/bin/ksu -rwxr-xr-x 1 root root 56352 мар 28 19:35 /usr/bin/ksu В то время как в Fedora: # rpm -qplv http://mirror.yandex.ru/fedora/linux/development/rawhide/Everything/x86_64/os/Packages/k/krb5-workstation-1.15.1-8.fc27.x86_64.rpm|grep /usr/bin/ksu -rwsr-xr-x 1 root root 61272 апр 29 00:13 /usr/bin/ksu В Ubuntu: # dpkg -c krb5-user_1.12+dfsg-2ubuntu5.2_amd64.deb | grep /usr/bin/ksu -rwsr-xr-x root/root 47968 2015-11-11 18:24 ./usr/bin/ksu 163692 1 ldv 2017-05-16 11:36:48 +0300 Руту возможно. В любом случае по умолчанию общедоступных суидных программ вместе с kinit устанавливаться не должно. Можно реализовать control по аналогии с обычным su. 175061 2 iv 2018-10-17 16:45:11 +0300 (In reply to comment #1) > Руту возможно. > В любом случае по умолчанию общедоступных суидных программ вместе с kinit > устанавливаться не должно. Раз так, я вынес ksu из krb5-kinit в отдельный подпакет. Считаю, что без suid-бита эта утилита настолько бесполезна, что не имеет смысла беспокоиться о том, что её исчезновение из системы что-то сломает. Зато когда она в отдельном пакете, можно смело сделать ей control wheelonly по умолчанию. Основные коммиты с изменениями: http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=b461bc37720ffeff3d49948393926443a23d1a22 http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=ab2f100959f57fcc2c6cf97da4fb0c37a439b479 Сделал task #215136, пока test-only. 175064 3 rider 2018-10-17 17:22:15 +0300 Гораздо правильнее было бы оставить ksu в одном пакете с kinit и добавить control по аналогии с su, по умолчанию в котором suid бит на ksu должен быть снят. 175273 4 repository-robot 2018-10-24 18:41:47 +0300 krb5-1.16.1-alt3 -> sisyphus: Wed Oct 17 2018 Ivan A. Melnikov <iv@altlinux> 1.16.1-alt3 - move ksu to a separate subpackage - add control facility to manage ksu binary permissions (closes #33479) - get rid of UBT Wed Aug 29 2018 Alexey Shabalin <shaba@altlinux> 1.16.1-alt2 - rebuild with openssl-1.1 Mon Aug 27 2018 Ivan A. Melnikov <iv@altlinux> 1.16.1-alt1 - 1.16.1 (CVE-2018-5729, CVE-2018-5730) Mon Jan 22 2018 Evgeny Sinelnikov <sin@altlinux> 1.16-alt1 - Update to latest stable release 1.16 Fri Nov 03 2017 Evgeny Sinelnikov <sin@altlinux> 1.15.2-alt2 - Fix build-pdf on Sisyphus - Add noport, nss_wrapper and socket_wrapper for tests running Wed Nov 01 2017 Evgeny Sinelnikov <sin@altlinux> 1.15.2-alt1 - Update to latest stable release 1.15.2 with kdcpreauth from 1.16.x Sun Aug 20 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.15.1-alt1 - Update to latest stable release 1.15.1 with kdcpreauth from 1.16.x Fri Mar 24 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.5-alt1 - Update to first spring release 1.14.5 Tue Feb 28 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.4-alt2 - Add _keytab group for default keytab /etc/krb5.keytab Wed Feb 15 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.4-alt1 - 1.14.4 - fixed CVE-2016-3120