| 1.1, Аноним (-), 18:22, 30/01/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Это верно вообще для любой утилиты, принадлежащей root, установленной с suid-битом и имеющей возможность писать в файл.
| | |
| |
| 2.2, Аноним (-), 18:31, 30/01/2017 [^] [^^] [^^^] [ответить]
| +9 +/– |
Не не верно, так как такие утилиты пишут в файл после сброса привилегий. В screen жутко накосячили вставили проверку открытия файла на запись через fopen(screenlogfile, "w") на этапе разбора опций до сброса привилегий.
| | |
|
| |
| 2.9, rshadow (ok), 21:45, 30/01/2017 [^] [^^] [^^^] [ответить]
| +6 +/– |
 Я еще могу понять фанатов и холивары linux vs macos vs windows. Но фанаты и холивары tmux vs screen это реально кому-то делать нех***й.
| | |
| |
| |
| 4.24, Аноним (-), 19:21, 31/01/2017 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Чем холивар tmux vs screen хуже холивара, скажем, vim vs. emacs?
Тем, что vim vs. emacs не холивар, а ересь, ибо божественность emacs несомненна!
| | |
|
|
|
| |
| 2.17, Andrey Mitrofanov (?), 09:40, 31/01/2017 [^] [^^] [^^^] [ответить]
| +3 +/– |
> $ rpm -q screen
> screen-4.0.3-alt12.x86_64
$ ls -l /usr/bin/screen
-rwxr-sr-x 1 root utmp 410688 Сен 3 2015 /usr/bin/screen
$ screen --version
Screen version 4.01.00devel (GNU) 2-May-06
Выиграл, но правльный вопрос -- откуда там вообще suid root-то взялся?
+
Solar Designer http://www.openwall.com/lists/oss-security/2017/01/25/1 =>
"Last but not least, I hope distros don't install screen SUID root these
days. If any distro does, this is yet another reminder to reconsider.
Some install it SGID utmp. Some take it a step further - Owl and ALT
Linux install it SGID to group screen, which only grants the ability to
invoke utempter (SGID utmp) and tcp_chkpwd (SGID shadow). Thus, it'd
take a vulnerability in those other tools to make much use of a screen
vulnerability. Here's an excerpt from ALT Linux's spec file:"
|
"У тмуксеров и GNU screen suid-root-ый." Начинаю перепись пострадальцев от своих дистрибутивов: ну, выходи строиться, у кого там оно suid-root-ное (и причисляете ли себя к тмуксерам!1)?? =>>
| | |
| 2.21, Sluggard (ok), 13:06, 31/01/2017 [^] [^^] [^^^] [ответить]
| +/– |
 > $ rpm -q screen
> screen-4.0.3-alt12.x86_64
Всё гораздо проще:
$ rpm -q screen
пакет screen не установлен
| | |
| 2.25, SysA (?), 11:25, 01/02/2017 [^] [^^] [^^^] [ответить]
| +/– |
> $ rpm -q screen
> screen-4.0.3-alt12.x86_64
Gentoo:
[I] app-misc/screen
Available versions: 4.3.1-r1 4.4.0 ~4.5.0-r1 **9999^t {debug multiuser nethack pam selinux utmp}
Installed versions: 4.4.0(10:58:59 19/01/17)(pam -debug -multiuser -nethack -selinux)
Homepage: https://www.gnu.org/software/screen/
Description: screen manager with VT100/ANSI terminal emulation
Т.е. 4.5 маскировано, кто открыл - ССЗБ! :)
| | |
|
| 1.20, Аноним (-), 12:45, 31/01/2017 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
И только гентушники могут глобально забить на suid:
make.conf:
FEATURES="... suidctl ..."
suidctl.conf:
/bin/mount
/bin/passwd
/bin/su
/bin/umount
Есть ещё один глобальный вариант:
mount -o remount,nosuid /...
| | |
|
