8588 2005-12-04 15:13:56 +0300 Выполнение произвольной команды из под root в Middleman 2005-12-16 07:00:31 +0300 1 1 4 Development Sisyphus middleman unstable all Linux CLOSED WONTFIX P1 critical --- 1 seppel wrar qa-sisyphus oldest_to_newest 33564 0 seppel 2005-12-04 15:13:58 +0300 Возможно выполнение произвольной команды из под суперпользователя в конфигурации Прокси-сервера Middleman по-умолчанию. Middleman работает с правами суперпользователя и не в chroot. Middleman после установки автоматически регистрируется в качестве службы, запускающейся при старте системы. Любой локальный пользователь с localhost может вызвать интерфейс веб-конфигурации, и там прописать в качестве external parser любую программу. После этого external parser будет вызван с правами суперпользователя при обработке запроса к прокси. Steps to Reproduce: 1. поставить Middleman, запустить его 2. прописать в качесве прокси localhost:8080 в браузере и зайти на http://mman 3. в External section веб-конфигурации прописать любую команду Actual Results: команда будет выполнена с правами суперпользователя. Expected Results: Middleman должен работать с правами пользователя mman в chroot. Веб интерфейс должны иметь право запускать только авторизованные пользователи даже в конфигурации по-умолчанию. 33565 1 wrar 2005-12-04 15:38:45 +0300 Судьба данного пакета меня не интересует. 33566 2 wrar 2005-12-04 15:41:57 +0300 Более того: в ALM2.4 данный пакет находится в компоненте contribs (в т.ч. из-за своей небезопасности), а security fixes к contribs не выпускаются. 33690 3 seppel 2005-12-10 16:04:10 +0300 Тогда было бы замечательно положить его вообще в unsupported. На мой взгляд если пакет с критической уязвимостью лежит пусть и в contribs то это не дело. При установке Мастера, в sources.list прописано: rpm [alt] ftp://ftp.altlinux.com/pub/distributions/ALTLinux/Master/2.4 ALTLinux main contrib Обычный пользователь не будет разбираться, что есть такие траблы с contribs. Он просто запустит Synaptic и поставит Middleman, так ничего и не заметив. По моему наличие таких ситуаций -- это явная проблема безопасности дистрибутива. Нужно, чтобы в sources.list не был по-умолчанию прописан contribs. 33915 4 wrar 2005-12-16 06:55:45 +0300 Пакета больше нет в Сизифе. WONTFIX. Кому надо - пишите патчи и воскрешайте.