59515 2026-06-11 18:23:34 +0300 Использовать отдельный набор опций монтирования для ESP при разметке диска 2026-07-09 16:38:14 +0300 1 1 4 Development Sisyphus guile-evms unstable x86_64 Linux CLOSED FIXED P5 normal --- 1 egori mcpain mcpain qa-sisyphus oldest_to_newest 289403 0 egori 2026-06-11 18:23:34 +0300 При разметке диска установщик использует для ESP стандартный набор опций монтирования FAT-раздела (umask=0,quiet,showexec,iocharset=utf8,codepage=866), который не подходит для ESP, поскольку umask=0 делает раздел world-writable. Из-за этого bootctl install выдаёт предупреждение: ``` ⚠️ Mount point '/boot/efi' which backs the random seed file is world accessible, which is a security hole! ⚠️ ⚠️ Random seed file '/boot/efi/loader/random-seed' is world accessible, which is a security hole! ⚠️ ``` Пока это не несёт угрозы безопасности, так как права на /boot ограничены и закрывают доступ к содержимому ESP, но защита держится только на правах родительского каталога и сломается, например, при переходе на рекомендуемую точку монтирования /efi. Предлагаю для ESP заменить опции на `umask=0077,nosuid,nodev,noexec`. Это делает раздел доступным только root, что убирает предупреждение bootctl, потенциальную утечку random-seed/initrd и возможность модификации файлов загрузчика непривилегированным пользователем. 290929 1 repository-robot 2026-07-09 16:38:14 +0300 guile-evms-0.6.8-alt1 -> sisyphus: Wed Jul 08 2026 Oleg Solovyov <mcpain@altlinux> 0.6.8-alt1 - use separate mount options for ESP (Closes: #59515)