Bug 33479 - Добавить SUID-бит у ksu
: Добавить SUID-бит у ksu
Status: ASSIGNED
: Sisyphus
(All bugs in Sisyphus/krb5-kinit)
: unstable
: all Linux
: P3 normal
Assigned To:
:
: https://bugzilla.redhat.com/show_bug....
:
:
:
  Show dependency tree
 
Reported: 2017-05-15 18:13 by
Modified: 2018-10-17 17:22 (History)


Attachments


Note

You need to log in before you can comment on or make changes to this bug.


Description From 2017-05-15 18:13:44
Добавить SUID-бит у ksu

Сейчас ksu невозможно использовать, нет SUID-бита

# rpm -qplv
altrepos/Sisyphus/x86_64/RPMS.classic/krb5-kinit-1.14.5-alt1.S1.x86_64.rpm |
grep /usr/bin/ksu
-rwxr-xr-x    1 root    root            56352 мар 28 19:35 /usr/bin/ksu

В то время как в Fedora:
# rpm -qplv
http://mirror.yandex.ru/fedora/linux/development/rawhide/Everything/x86_64/os/Packages/k/krb5-workstation-1.15.1-8.fc27.x86_64.rpm|grep
/usr/bin/ksu
-rwsr-xr-x    1 root    root            61272 апр 29 00:13 /usr/bin/ksu

В Ubuntu:
# dpkg -c krb5-user_1.12+dfsg-2ubuntu5.2_amd64.deb | grep /usr/bin/ksu
-rwsr-xr-x root/root     47968 2015-11-11 18:24 ./usr/bin/ksu
------- Comment #1 From 2017-05-16 11:36:48 -------
Руту возможно.
В любом случае по умолчанию общедоступных суидных программ вместе с kinit
устанавливаться не должно.
Можно реализовать control по аналогии с обычным su.
------- Comment #2 From 2018-10-17 16:45:11 -------
(In reply to comment #1)
> Руту возможно.
> В любом случае по умолчанию общедоступных суидных программ вместе с kinit
> устанавливаться не должно.

Раз так, я вынес ksu из krb5-kinit в отдельный подпакет. Считаю, что без
suid-бита эта утилита настолько бесполезна, что не имеет смысла беспокоиться о
том, что её исчезновение из системы что-то сломает.

Зато когда она в отдельном пакете, можно смело сделать ей control wheelonly по
умолчанию.

Основные коммиты с изменениями:

http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=b461bc37720ffeff3d49948393926443a23d1a22
http://git.altlinux.org/people/iv/packages/krb5.git?p=krb5.git;a=commitdiff;h=ab2f100959f57fcc2c6cf97da4fb0c37a439b479

Сделал task #215136, пока test-only.
------- Comment #3 From 2018-10-17 17:22:15 -------
Гораздо правильнее было бы оставить ksu в одном пакете с kinit и добавить
control по аналогии с su, по умолчанию в котором suid бит на ksu должен быть
снят.