{"id":183605,"date":"2026-10-05T10:54:21","date_gmt":"2026-10-05T08:54:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/teo-de-raadt-predlozhil-izmeneniya-dlya-ogranicheniya-dostupa-k-fs-cherez-funkcziyu-openat"},"modified":"2026-10-05T10:54:25","modified_gmt":"2026-10-05T08:54:25","slug":"theo-de-raadt-proposed-changes-to-restrict-filesystem-access-via-openat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/theo-de-raadt-proposed-changes-to-restrict-filesystem-access-via-openat","title":{"rendered":"Theo de Raadt foreslog \u00e6ndringer for at begr\u00e6nse adgangen til FS via funktionen openat.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Theo de Raadtt foreslog at inkludere en ny mekanisme i OpenBSD for at reducere angrebsoverfladen, implementeret gennem udvidelse af systemopkaldet openat. Patches med implementeringen af yderligere flag for openat og open, som begr\u00e6nser muligheden for at bev\u00e6ge sig op til overordnede mapper via \"\/..\" og tilgang til absolutte stier, er forberedt til kernen, libc samt nogle applikationer fra det grundl\u00e6ggende system. \u00c6ndringerne er endnu ikke inkluderet i OpenBSD-current og er i \u00f8jeblikket til diskussion blandt udviklerne. <\/p>\n
Familien af systemopkald openat(2) fungerer som en analog til open(2), bortset fra at hvis parameteren \"path\" angiver en relativ sti, defineres den \u00e5bnede fil i forhold til kataloget knyttet til filbeskrivelsen \"fd\", i stedet for den nuv\u00e6rende arbejdsmappe. Hvis der sendes en absolut sti til openat, for eksempel: int dirfd = open(\"\/tmp\", O_RDONLY | O_DIRECTORY); int hfd = openat(dirfd, \"\/etc\/hosts\", O_RDONLY); <\/p>\n
funktionen openat() vil ignorere \"dirfd\" og som f\u00f8lge heraf vil den absolutte sti blive behandlet p\u00e5 normal vis. <\/p>\n
Derfor styrker en udskiftning af open() med openat() i sig selv ikke programmets sikkerhed. Et s\u00e5dant opkald kan fremskynde sti-parse, men begr\u00e6nser ikke adgangen til filsystemet. Flags, der forhindrer absolutte stier (for eksempel RESOLVE_BENEATH og\\\/eller RESOLVE_IN_ROOT for openat2 i Linux), garanterer ikke beskyttelse: programm\u00f8ren skal tilf\u00f8je dem til alle relevante opkald, og ved at overtage kontrollen over processen kan en angriber udnytte andre stier til at \u00e5bne filer. <\/p>\n
Under arbejdet med v\u00e6rkt\u00f8jet openrsync opstod der for Theo behovet for at begr\u00e6nse dets muligheder for at navigere i filsystemet, men dette kunne ikke g\u00f8res ved hj\u00e6lp af funktionerne unveil() og pledge(). S\u00e5 kom ideen om en mekanisme, der ligner openat(), men med sikkerhedsegenskaber, der supplerer pledge\\\/unveil eller endda fungerer uden dem. <\/p>\n
Hovedideen - at g\u00f8re begr\u00e6nsningerne til en del af selve katalogbeskrivelsen. Til dette foresl\u00e5s flaget F_BELOW, som kan indstilles via fcntl(), eller flaget O_BELOW for open(). Den begr\u00e6nsede descriver \"dirfd\" vil kun tillade bev\u00e6gelser nedad i katalogtr\u00e6et: openat() opkald med absolut sti eller bev\u00e6gelser opad via \"..\" vil resultere i fejlen ENOENT. I tilf\u00e6lde af et angreb, der f\u00f8rer til kodens udf\u00f8relse, vil procesens filbeskrivertabel indeholde mindre funktionelle \"dirfd\", hvilket vil begr\u00e6nse angrebsoverfladen. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"