ALT Linux Bugzilla – #16495

Как, опять?

А как тогда этот autoinstall юзать, если там пароля в явном виде нет?

(In reply to comment #1)
> Как, опять?
> 
> А как тогда этот autoinstall юзать, если там пароля в явном виде нет?

Ну, можно придумать способ сразу hash вписывать при автоустановке.

(In reply to comment #0)

> (Например, плохо, что пользовательский пароль сможет прочитать всякий root,

Или, например, админ будет раздавать этот autoinstall.scm для массовой уствновки работникам, которым он сильно не доверяет.

(In reply to comment #1)
> Как, опять?

Да, нашёл ещё одно сообщение на эту тему (https://bugzilla.altlinux.org/show_bug.cgi?id=15080 ). Возможно, такого уже нет в текущем рабочем варианте installer-а, но в Lite 4.0.* пока ещё проблема открыта же.

По крайней мере, об этом надо громко сообщать и делать это осознанным выбором ставящего. Иначе, они там лежат в plain text, а он об этом и не знает. (Иначе какой смысл в /etc/shadow заморачиваться тогда с hash-ами, если они всё равно в этой файловой системе лежат себе и в plain text?..)

*** Bug 16809 has been marked as a duplicate of this bug. ***

Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть уязвимость, то даже любой ламерок сможет в узнать пароль рута.......
(заюзал эксплойт с какого-то сайтика и на те пароль).
Я думаю что если нужна автоустановка, то это должен быть отдельный пакет который будет создавать файлик и пароль полюбому не в плаин тексте.....
И второй момент!!! - зачем этот файл создается при установке сервера????!!!!
Вы себе представляете интернет шлюз с такой дырой в которую можно слона протолкнуть.........

(In reply to comment #7)
> Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть
> уязвимость, то даже любой ламерок сможет в узнать пароль рута.......
Для этого он должен будет уже быть рутом.

(In reply to comment #8)
> (In reply to comment #7)
> > Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть
> > уязвимость, то даже любой ламерок сможет в узнать пароль рута.......
> Для этого он должен будет уже быть рутом.

не факт... это может быть любой из процессов запущеный от имени рута.....

(In reply to comment #9)
> (In reply to comment #8)
> > (In reply to comment #7)
> > > Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть
> > > уязвимость, то даже любой ламерок сможет в узнать пароль рута.......
> > Для этого он должен будет уже быть рутом.
> не факт... это может быть любой из процессов запущеный от имени рута.....
Что то же самое.

(In reply to comment #10)
> (In reply to comment #9)
> > (In reply to comment #8)
> > > (In reply to comment #7)
> > > > Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть
> > > > уязвимость, то даже любой ламерок сможет в узнать пароль рута.......
> > > Для этого он должен будет уже быть рутом.
> > не факт... это может быть любой из процессов запущеный от имени рута.....
> Что то же самое.
нет.... это может быть тот же самый альтератор в котором завтра кто-то найдет баг и зайдет примерно по такой ссцылочке https://hostname:8080/fbi-bin/index.scm/?read=/root/autoinstall.scm
или вы будете утверждать что данной ситуации просто невозможно.....

(In reply to comment #4)
> (In reply to comment #1)
> > Как, опять?
> 
> Да, нашёл ещё одно сообщение на эту тему (https://bugzilla.altlinux.org/show_bug.cgi?id=15080 ).
> Возможно, такого уже нет в текущем рабочем варианте installer-а, но в Lite 4.0.* пока
> ещё проблема открыта же.
 
В Desktop 4.1 то же самое, можно убедиться в https://bugzilla.altlinux.org/show_bug.cgi?id=18274#c1 .

Да, sed-овый хак отвалил из-за переименования полей.
Можно делать reopen ... только исправлять буду только в следующем году ;)

2slazav: Захочешь исправить - исправлять надо в пакете alterator-wizardface.

(In reply to comment #13)
> Можно делать reopen ... только исправлять буду только в следующем году ;)

Каково сейчас положения в 4.0, не знаю, поэтому открываю отдельное сообщение для 4.1:

https://bugzilla.altlinux.org/show_bug.cgi?id=18305