Det tekniske udvalg, der træffer de endelige beslutninger om tvistede tekniske spørgsmål i Debian-projektet, har godkendt en ændring af systemd-pakken, der ændrer adfærden ved arbejde med kataloget /var/lock. Systemmanageren systemd har siden version 258 begrænset muligheden for at skrive til /var/lock kun til brugere med root-rettigheder, mens det tekniske udvalg i Debian har godkendt, at den gamle adfærd, der tillader enhver bruger at skrive til /var/lock, er bevaret.
Debian-projektets regler foreskriver, at den oprindelige adfærd af applikationer (konfigurationer fra upstream) skal bevares ved pakkeoprettelse. For at foretage Debian-specifikke ændringer, der omgår projektets regler, er det nødvendigt at få særlig tilladelse fra det tekniske udvalg.
I tilfælde af systemd støttede udvalget forslaget om ikke at følge ændringen, der ændrer adgangsrettighederne til /var/lock for at øge sikkerheden, da muligheden for offentlig skrivning i kataloget /var/lock nævnes i FHS-specifikationen (Filesystem Hierarchy Standard) og er nødvendig for fortsat drift af nogle eksisterende programmer. For eksempel bruger applikationer, der arbejder med serielle porte, såsom uucp, minicom, mgetty+sendfax og hylafax, kataloget /var/lock til at dele adgang til enhederne /dev/ttyS* ved at oprette låse-filer.
Behovet for at begrænse adgangen til kataloget /var/lock forklares af systemd-udviklerne med beskyttelse mod DoS-angreb. Kataloget /var/lock er et symbolsk link til kataloget /run/lock. Kataloget /run monteres typisk separat via tmpfs, og muligheden for ubegribelig skrivning kan bruges til at fylde dette katalog op og blokere oprettelsen af nye filer i /run-hierarkiet.
For at undgå sådanne angreb, når der er ubegribelig adgang, blev der tidligere i Debian anvendt en patch, der montere /run/lock i en separat lille tmpfs-partition. I det forgangne år blev denne patch erstattet af en enhed kaldet run-lock.mount, og i sommer blev denne enhed fjernet, hvorefter /run/lock befandt sig i partitionen /run. I kommentarerne til beslutningen fra det tekniske udvalg anbefalede den tidligere maintainer af systemd at huske den nævnte ændring og vende tilbage til en separat montering af /run/lock, samt på lang sigt at overføre alle applikationer, der er knyttet til /run/lock, til låsning ved hjælp af mekanismen flock.
Kilde: opennet.ru
