Bug 28549
| Summary: | слишком жёсткие права на /var/run/gdm/ | ||||||
|---|---|---|---|---|---|---|---|
| Product: | Sisyphus | Reporter: | Michael Shigorin <mike> | ||||
| Component: | gdm | Assignee: | Yuri N. Sedunov <aris> | ||||
| Status: | CLOSED FIXED | QA Contact: | qa-sisyphus | ||||
| Severity: | major | ||||||
| Priority: | P3 | CC: | aen, aris, boyarsh, ldv, sem, shaba | ||||
| Version: | unstable | ||||||
| Hardware: | all | ||||||
| OS: | Linux | ||||||
| URL: | https://bugzilla.gnome.org/show_bug.cgi?id=693679 | ||||||
| Bug Depends on: | |||||||
| Bug Blocks: | 27685 | ||||||
| Attachments: |
|
||||||
0770 -- "заслуга" апстрима: https://bugzilla.gnome.org/show_bug.cgi?id=693679 Created attachment 5735 [details]
gdm-3.6.2-alt-runtimedir-perms.patch
Патч, добавляющий всем право на сканирование /var/run/gdm/ (проверен сборкой образа, результирующие права 0771 root:root не мешают pam_xauth работать).
2 ldv: прошу посмотреть и высказаться, годится ли такое NMU -- не хотелось бы анонсировать regular-{gnome3,cinnamon}.iso с известной проблемой подобного плана.
Надо отдавать себе отчет в том, что 0770 root:root фактически означает 0700 root:root, поскольку у нас обычно никого, кроме root, в группе root нет. Вопрос, создаются ли в /var/run/gdm/ объекты, к которым не-root не должен иметь доступ? (В ответ на комментарий №3) > Надо отдавать себе отчет в том, что 0770 root:root фактически означает 0700 > root:root, поскольку у нас обычно никого, кроме root, в группе root нет. Разумеется. > Вопрос, создаются ли в /var/run/gdm/ объекты, к которым не-root не должен иметь > доступ? Заметить таких не удалось, наблюдаю там каталоги вида auth-for-$USER-$XXXXXX, где USER -- gdm и, например, altlinux; права на них -- 0711 $USER:$USER. Ещё упоминается тот самый маркер, при создании которого и портят права на /var/run/gdm, оказывающийся по умолчанию ещё и GDM_RAN_ONCE_MARKER_DIR: configure.ac: GDM_RAN_ONCE_MARKER_DIR=${localstatedir}/run/gdm [...] configure.ac:GDM_RAN_ONCE_MARKER_FILE="$GDM_RAN_ONCE_MARKER_DIR/ran-once-marker" А сделать 0711 (как и получаются в другой ветке этого предположительно race condition) думал, но решил обойтись минимально необходимым изменением до пояснений апстрима, буде таковые последуют. У них в NEWS /var/run/gdm упоминается в 2.22.0 (когда перенесли xauth-файлики) и в 2.29.0 (когда ужесточили права). Какой-то в этом gdm случился плюрализм: в файле gdm/daemon/gdm-display-access-file.c написано, что каталог GDM_XAUTH_DIR (он же /var/run/gdm) создается с правами %attr(0711,root,gdm), в то время как daemon/main.c рядом создает GDM_RAN_ONCE_MARKER_DIR (тот же самый /var/run/gdm) с правами %attr(0700,-,-). Беда, в общем, этот ваш gdm. Какой-то в этом gdm случился плюрализм: в файле gdm/daemon/gdm-display-access-file.c написано, что каталог GDM_XAUTH_DIR (он же /var/run/gdm) создается с правами %attr(0711,root,gdm), в то время как daemon/main.c рядом создает GDM_RAN_ONCE_MARKER_DIR (тот же самый /var/run/gdm) с правами %attr(0770,-,-). Беда, в общем, этот ваш gdm. (In reply to comment #4) > (В ответ на комментарий №3) > > Надо отдавать себе отчет в том, что 0770 root:root фактически означает 0700 > > root:root, поскольку у нас обычно никого, кроме root, в группе root нет. > > Разумеется. > > > Вопрос, создаются ли в /var/run/gdm/ объекты, к которым не-root не должен иметь > > доступ? > Заметить таких не удалось, наблюдаю там каталоги вида auth-for-$USER-$XXXXXX, > где USER -- gdm и, например, altlinux; права на них -- 0711 $USER:$USER. > > Ещё упоминается тот самый маркер, при создании которого и портят права на > /var/run/gdm, оказывающийся по умолчанию ещё и GDM_RAN_ONCE_MARKER_DIR: > > configure.ac: GDM_RAN_ONCE_MARKER_DIR=${localstatedir}/run/gdm > [...] > configure.ac:GDM_RAN_ONCE_MARKER_FILE="$GDM_RAN_ONCE_MARKER_DIR/ran-once-marker" > > А сделать 0711 (как и получаются в другой ветке этого предположительно race > condition) думал, но решил обойтись минимально необходимым изменением до > пояснений апстрима, буде таковые последуют. У них в NEWS /var/run/gdm > упоминается в 2.22.0 (когда перенесли xauth-файлики) и в 2.29.0 (когда > ужесточили права). Более правильным выглядит изменение значений GDM_RAN_ONCE_MARKER_DIR и GDM_XAUTH_DIR, чтобы они не совпадали, и одно из них не было подкаталогом другого. gdm-3.6.2-alt4 -> sisyphus: * Wed Feb 13 2013 Michael Shigorin <mike@altlinux> 3.6.2-alt4 - NMU: fixed /var/run/gdm permissions which were blocking proper pam_xauth execution; thanks ldv@ (closes: #28549) (In reply to comment #7) > Более правильным выглядит изменение значений GDM_RAN_ONCE_MARKER_DIR и > GDM_XAUTH_DIR, чтобы они не совпадали, и одно из них не было подкаталогом > другого. Об этом тоже подумал, но тут оценить последствия мне было несколько сложней. 2 aris: я попросил тебя не дожидаться и пропустить совсем нахальный NMU. Надеюсь на снисхождение ввиду характера проблемы. Апстрим сделал такой патч: http://bugzilla-attachments.gnome.org/attachment.cgi?id=236941 |
Description
Michael Shigorin 2013-02-12 22:21:14 MSK