Bug 33479 - Добавить SUID-бит у ksu
Summary: Добавить SUID-бит у ksu
Status: CLOSED FIXED
Alias: None
Product: Sisyphus
Classification: Development
Component: krb5-kinit (show other bugs)
Version: unstable
Hardware: all Linux
: P3 normal
Assignee: Ivan A. Melnikov
QA Contact: qa-sisyphus
URL: https://bugzilla.redhat.com/show_bug....
Keywords:
Depends on:
Blocks:
 
Reported: 2017-05-15 18:13 MSK by Lenar Shakirov
Modified: 2018-10-24 18:41 MSK (History)
5 users (show)

See Also:

Attachments
Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.
Description Lenar Shakirov 2017-05-15 18:13:44 MSK 
Добавить SUID-бит у ksu

Сейчас ksu невозможно использовать, нет SUID-бита

# rpm -qplv altrepos/Sisyphus/x86_64/RPMS.classic/krb5-kinit-1.14.5-alt1.S1.x86_64.rpm | grep /usr/bin/ksu
-rwxr-xr-x    1 root    root            56352 мар 28 19:35 /usr/bin/ksu

В то время как в Fedora:
# rpm -qplv http://mirror.yandex.ru/fedora/linux/development/rawhide/Everything/x86_64/os/Packages/k/krb5-workstation-1.15.1-8.fc27.x86_64.rpm|grep /usr/bin/ksu
-rwsr-xr-x    1 root    root            61272 апр 29 00:13 /usr/bin/ksu

В Ubuntu:
# dpkg -c krb5-user_1.12+dfsg-2ubuntu5.2_amd64.deb | grep /usr/bin/ksu
-rwsr-xr-x root/root     47968 2015-11-11 18:24 ./usr/bin/ksu
Comment 1 Dmitry V. Levin 2017-05-16 11:36:48 MSK 
Руту возможно.
В любом случае по умолчанию общедоступных суидных программ вместе с kinit устанавливаться не должно.
Можно реализовать control по аналогии с обычным su.
Comment 2 Ivan A. Melnikov 2018-10-17 16:45:11 MSK 
(In reply to comment #1)
> Руту возможно.
> В любом случае по умолчанию общедоступных суидных программ вместе с kinit
> устанавливаться не должно.

Раз так, я вынес ksu из krb5-kinit в отдельный подпакет. Считаю, что без suid-бита эта утилита настолько бесполезна, что не имеет смысла беспокоиться о том, что её исчезновение из системы что-то сломает.

Зато когда она в отдельном пакете, можно смело сделать ей control wheelonly по умолчанию.

Основные коммиты с изменениями:

http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=b461bc37720ffeff3d49948393926443a23d1a22
http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=ab2f100959f57fcc2c6cf97da4fb0c37a439b479

Сделал task #215136, пока test-only.
Comment 3 Anton Farygin 2018-10-17 17:22:15 MSK 
Гораздо правильнее было бы оставить ksu в одном пакете с kinit и добавить control по аналогии с su, по умолчанию в котором suid бит на ksu должен быть снят.
Comment 4 Repository Robot 2018-10-24 18:41:47 MSK 
krb5-1.16.1-alt3 -> sisyphus:

Wed Oct 17 2018 Ivan A. Melnikov <iv@altlinux> 1.16.1-alt3
- move ksu to a separate subpackage
- add control facility to manage ksu binary permissions (closes #33479)
- get rid of UBT

Wed Aug 29 2018 Alexey Shabalin <shaba@altlinux> 1.16.1-alt2
- rebuild with openssl-1.1

Mon Aug 27 2018 Ivan A. Melnikov <iv@altlinux> 1.16.1-alt1
- 1.16.1 (CVE-2018-5729, CVE-2018-5730)

Mon Jan 22 2018 Evgeny Sinelnikov <sin@altlinux> 1.16-alt1
- Update to latest stable release 1.16

Fri Nov 03 2017 Evgeny Sinelnikov <sin@altlinux> 1.15.2-alt2
- Fix build-pdf on Sisyphus
- Add noport, nss_wrapper and socket_wrapper for tests running

Wed Nov 01 2017 Evgeny Sinelnikov <sin@altlinux> 1.15.2-alt1
- Update to latest stable release 1.15.2 with kdcpreauth from 1.16.x

Sun Aug 20 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.15.1-alt1
- Update to latest stable release 1.15.1 with kdcpreauth from 1.16.x

Fri Mar 24 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.5-alt1
- Update to first spring release 1.14.5

Tue Feb 28 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.4-alt2
- Add _keytab group for default keytab /etc/krb5.keytab

Wed Feb 15 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.4-alt1
- 1.14.4
- fixed CVE-2016-3120