Bug 33479 - Добавить SUID-бит у ksu
: Добавить SUID-бит у ksu
Status: CLOSED FIXED
: Sisyphus
(All bugs in Sisyphus/krb5-kinit)
: unstable
: all Linux
: P3 normal
Assigned To:
:
: https://bugzilla.redhat.com/show_bug....
:
:
:
  Show dependency tree
 
Reported: 2017-05-15 18:13 by
Modified: 2018-10-24 18:41 (History)


Attachments


Note

You need to log in before you can comment on or make changes to this bug.


Description From 2017-05-15 18:13:44
Добавить SUID-бит у ksu

Сейчас ksu невозможно использовать, нет SUID-бита

# rpm -qplv
altrepos/Sisyphus/x86_64/RPMS.classic/krb5-kinit-1.14.5-alt1.S1.x86_64.rpm |
grep /usr/bin/ksu
-rwxr-xr-x    1 root    root            56352 мар 28 19:35 /usr/bin/ksu

В то время как в Fedora:
# rpm -qplv
http://mirror.yandex.ru/fedora/linux/development/rawhide/Everything/x86_64/os/Packages/k/krb5-workstation-1.15.1-8.fc27.x86_64.rpm|grep
/usr/bin/ksu
-rwsr-xr-x    1 root    root            61272 апр 29 00:13 /usr/bin/ksu

В Ubuntu:
# dpkg -c krb5-user_1.12+dfsg-2ubuntu5.2_amd64.deb | grep /usr/bin/ksu
-rwsr-xr-x root/root     47968 2015-11-11 18:24 ./usr/bin/ksu
------- Comment #1 From 2017-05-16 11:36:48 -------
Руту возможно.
В любом случае по умолчанию общедоступных суидных программ вместе с kinit
устанавливаться не должно.
Можно реализовать control по аналогии с обычным su.
------- Comment #2 From 2018-10-17 16:45:11 -------
(In reply to comment #1)
> Руту возможно.
> В любом случае по умолчанию общедоступных суидных программ вместе с kinit
> устанавливаться не должно.

Раз так, я вынес ksu из krb5-kinit в отдельный подпакет. Считаю, что без
suid-бита эта утилита настолько бесполезна, что не имеет смысла беспокоиться о
том, что её исчезновение из системы что-то сломает.

Зато когда она в отдельном пакете, можно смело сделать ей control wheelonly по
умолчанию.

Основные коммиты с изменениями:

http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=b461bc37720ffeff3d49948393926443a23d1a22
http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=ab2f100959f57fcc2c6cf97da4fb0c37a439b479

Сделал task #215136, пока test-only.
------- Comment #3 From 2018-10-17 17:22:15 -------
Гораздо правильнее было бы оставить ksu в одном пакете с kinit и добавить
control по аналогии с su, по умолчанию в котором suid бит на ksu должен быть
снят.
------- Comment #4 From 2018-10-24 18:41:47 -------
krb5-1.16.1-alt3 -> sisyphus:

Wed Oct 17 2018 Ivan A. Melnikov <iv@altlinux> 1.16.1-alt3
- move ksu to a separate subpackage
- add control facility to manage ksu binary permissions (closes #33479)
- get rid of UBT

Wed Aug 29 2018 Alexey Shabalin <shaba@altlinux> 1.16.1-alt2
- rebuild with openssl-1.1

Mon Aug 27 2018 Ivan A. Melnikov <iv@altlinux> 1.16.1-alt1
- 1.16.1 (CVE-2018-5729, CVE-2018-5730)

Mon Jan 22 2018 Evgeny Sinelnikov <sin@altlinux> 1.16-alt1
- Update to latest stable release 1.16

Fri Nov 03 2017 Evgeny Sinelnikov <sin@altlinux> 1.15.2-alt2
- Fix build-pdf on Sisyphus
- Add noport, nss_wrapper and socket_wrapper for tests running

Wed Nov 01 2017 Evgeny Sinelnikov <sin@altlinux> 1.15.2-alt1
- Update to latest stable release 1.15.2 with kdcpreauth from 1.16.x

Sun Aug 20 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.15.1-alt1
- Update to latest stable release 1.15.1 with kdcpreauth from 1.16.x

Fri Mar 24 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.5-alt1
- Update to first spring release 1.14.5

Tue Feb 28 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.4-alt2
- Add _keytab group for default keytab /etc/krb5.keytab

Wed Feb 15 2017 Evgeny Sinelnikov <sin@altlinux.ru> 1.14.4-alt1
- 1.14.4
- fixed CVE-2016-3120