Техническият комитет одобри промяната в поведението на systemd в Debian

Техническият комитет, който взема окончателни решения по спорни технически въпроси в проекта Debian, одобри промяна в пакета с systemd, която променя поведението при работа с директорията /var/lock. Системният мениджър systemd, започвайки с версия 258, ограничи възможността за запис в директорията /var/lock само за потребители с права root, докато техническият комитет на Debian одобри запазването на старото поведение, което позволява запис в /var/lock на всички потребители.

Правилата на проекта Debian предписват запазване на оригиналното поведение на приложенията (настройките, зададени в upstream) при създаване на пакети. За да се направят специфични за Debian промени в пакетите, в противоречие с правилата на проекта, е необходимо получаването на специално разрешение от техническия комитет.

В случая с systemd комитетът подкрепи предложението да не се следва промяната, променяща правата на достъп до /var/lock с цел повишаване на сигурността, тъй като възможността за публичен запис в директорията /var/lock е спомената в спецификацията FHS (Filesystem Hierarchy Standard) и е необходима за продължаването на работата на някои съществуващи програми. Например, приложения за работа с последователни портове, като uucp, minicom, mgetty+sendfax и hylafax, използват директорията /var/lock за разпределение на достъпа до устройствата /dev/ttyS* чрез създаване на файлове за заключване.

Необходимостта от ограничаване на достъпа до директорията /var/lock е обяснена от разработчиците на systemd с цел защита от DoS атаки. Директорията /var/lock е символна връзка към директорията /run/lock. Разделът с директорията /run обикновено се монтира отделно чрез tmpfs и всяка възможност за неконтролируем запис в него може да се използва за запълване на раздела и блокиране на създаването на нови файлове в йерархията /run.

За да се избегне извършването на подобни атаки при неограничен достъп, в Debian преди това се използваше патч, който монтираше /run/lock в отделен малък tmpfs-раздел. Миналата година този патч беше заменен с единица run-lock.mount, а това лято единицата беше премахната, след което /run/lock остана в раздела /run. В коментарите на решението на техническия комитет, бившият мейнтейнер на systemd препоръча да не се забравя за измененията и да се върнем към отделно монтиране на /run/lock, а в дългосрочен план да прехвърлим всички приложения, свързани с /run/lock, на заключвания с помощта на механизма flock.

Източник: opennet.ru