Использование символических ссылок очень удобно при организации доступа пользователю. Достаточно расшарить ресурс и создать ссылки на нужные каталоги. По умолчанию в самбе follow symlinks = yes.
Но! Как показал эксперимент - это серьездная уязвимость, если у пользователя есть права на запись. На удаленной Linux машине создаем ссылку, например на /etc, монтируем шару, копируем туда ссылку, жмем F5 и получаем доступ к /etc на сервере.

Есть ли варианты безопасно организовать доступ без запрета символический ссылок (follow symlinks = no)?

• Символические ссылки и уязвимость,AndreyT, 10:19 , 18-Фев-08
  • Символические ссылки и уязвимость,Сергей, 14:58 , 20-Фев-08
  • Символические ссылки и уязвимость,Evgeniy, 10:35 , 28-Фев-08

Закрой доступ к каталогу шары из командной строки ssh telnet и т.д.
Средствами самой самбы создать ссылку на шаре нельзя.
(Нет поддержики атрибута файла "ссылка")
Специально проверил у себя:
#mount -t cifs //192.168.0.1/andreyt /mnt -o username=andreyt
#cp ./etc /mnt -a
cp: невозможно создать символьную ссылку `/mnt/etc': Неподдерживаемая операция

>Закрой доступ к каталогу шары из командной строки ssh telnet и т.д.
>
>Средствами самой самбы создать ссылку на шаре нельзя.
>(Нет поддержики атрибута файла "ссылка")
>Специально проверил у себя:
>#mount -t cifs //192.168.0.1/andreyt /mnt -o username=andreyt
>#cp ./etc /mnt -a
>cp: невозможно создать символьную ссылку `/mnt/etc': Неподдерживаемая операция

есть параметр wide links, установите его в no и линки на каталоги и файлы будут работать только если они ссылаются на обьекты внутри шары

>Закрой доступ к каталогу шары из командной строки ssh telnet и т.д.
>
>Средствами самой самбы создать ссылку на шаре нельзя.
>(Нет поддержики атрибута файла "ссылка")
>Специально проверил у себя:
>#mount -t cifs //192.168.0.1/andreyt /mnt -o username=andreyt
>#cp ./etc /mnt -a
>cp: невозможно создать символьную ссылку `/mnt/etc': Неподдерживаемая операция

В том то и дело, что возможно
#mount -t cifs //192.168.0.1/andreyt /mnt -o username=andreyt
#ln -s /etc /tmp/ln_etc
#cp /tmp/ln_etc /mnt -a
После этой несложной операции, я получаю \\192.168.0.1\andreyt\ln_etc\..., а там соответственно все, что лежит на 192.168.0.1 в /etc