Bug 33479

Summary: Добавить SUID-бит у ksu
Product: Sisyphus Reporter: Lenar Shakirov <snejok>
Component: krb5-kinitAssignee: Ivan A. Melnikov <iv>
Status: CLOSED FIXED QA Contact: qa-sisyphus
Severity: normal    
Priority: P3 CC: iv, ldv, rider, shaba, sin
Version: unstable   
Hardware: all   
OS: Linux   
URL: https://bugzilla.redhat.com/show_bug.cgi?id=122731

Description Lenar Shakirov 2017-05-15 18:13:44 MSK 
Добавить SUID-бит у ksu

Сейчас ksu невозможно использовать, нет SUID-бита

# rpm -qplv altrepos/Sisyphus/x86_64/RPMS.classic/krb5-kinit-1.14.5-alt1.S1.x86_64.rpm | grep /usr/bin/ksu
-rwxr-xr-x    1 root    root            56352 мар 28 19:35 /usr/bin/ksu

В то время как в Fedora:
# rpm -qplv http://mirror.yandex.ru/fedora/linux/development/rawhide/Everything/x86_64/os/Packages/k/krb5-workstation-1.15.1-8.fc27.x86_64.rpm|grep /usr/bin/ksu
-rwsr-xr-x    1 root    root            61272 апр 29 00:13 /usr/bin/ksu

В Ubuntu:
# dpkg -c krb5-user_1.12+dfsg-2ubuntu5.2_amd64.deb | grep /usr/bin/ksu
-rwsr-xr-x root/root     47968 2015-11-11 18:24 ./usr/bin/ksu
Comment 1 Dmitry V. Levin 2017-05-16 11:36:48 MSK 
Руту возможно.
В любом случае по умолчанию общедоступных суидных программ вместе с kinit устанавливаться не должно.
Можно реализовать control по аналогии с обычным su.
Comment 2 Ivan A. Melnikov 2018-10-17 16:45:11 MSK 
(In reply to comment #1)
> Руту возможно.
> В любом случае по умолчанию общедоступных суидных программ вместе с kinit
> устанавливаться не должно.

Раз так, я вынес ksu из krb5-kinit в отдельный подпакет. Считаю, что без suid-бита эта утилита настолько бесполезна, что не имеет смысла беспокоиться о том, что её исчезновение из системы что-то сломает.

Зато когда она в отдельном пакете, можно смело сделать ей control wheelonly по умолчанию.

Основные коммиты с изменениями:

http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=b461bc37720ffeff3d49948393926443a23d1a22
http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=ab2f100959f57fcc2c6cf97da4fb0c37a439b479

Сделал task #215136, пока test-only.
Comment 3 Anton Farygin 2018-10-17 17:22:15 MSK 
Гораздо правильнее было бы оставить ksu в одном пакете с kinit и добавить control по аналогии с su, по умолчанию в котором suid бит на ksu должен быть снят.
Comment 4 Repository Robot 2018-10-24 18:41:47 MSK 
krb5-1.16.1-alt3 -> sisyphus:

Wed Oct 17 2018 Ivan A. Melnikov <iv@altlinux> 1.16.1-alt3
- move ksu to a separate subpackage
- add control facility to manage ksu binary permissions (closes #33479)
- get rid of UBT

Wed Aug 29 2018 Alexey Shabalin <shaba@altlinux> 1.16.1-alt2
- rebuild with openssl-1.1

Mon Aug 27 2018 Ivan A. Melnikov <iv@altlinux> 1.16.1-alt1
- 1.16.1 (CVE-2018-5729, CVE-2018-5730)

Mon Jan 22 2018 Evgeny Sinelnikov <sin@altlinux> 1.16-alt1
- Update to latest stable release 1.16

Fri Nov 03 2017 Evgeny Sinelnikov <sin@altlinux> 1.15.2-alt2
- Fix build-pdf on Sisyphus
- Add noport, nss_wrapper and socket_wrapper for tests running

Wed Nov 01 2017 Evgeny Sinelnikov <sin@altlinux> 1.15.2-alt1
- Update to latest stable release 1.15.2 with kdcpreauth from 1.16.x

Sun Aug 20 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.15.1-alt1
- Update to latest stable release 1.15.1 with kdcpreauth from 1.16.x

Fri Mar 24 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.5-alt1
- Update to first spring release 1.14.5

Tue Feb 28 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.4-alt2
- Add _keytab group for default keytab /etc/krb5.keytab

Wed Feb 15 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.4-alt1
- 1.14.4
- fixed CVE-2016-3120