Der technische Ausschuss hat die Änderung des Verhaltens von systemd in Debian genehmigt

Das technische Komitee, das die endgültigen Entscheidungen zu umstrittenen technischen Fragen im Debian-Projekt trifft, hat die Änderung des Pakets mit systemd genehmigt, die das Verhalten beim Arbeiten mit dem Verzeichnis /var/lock ändert. Der Systemmanager systemd hat ab Version 258 die Schreibberechtigung für das Verzeichnis /var/lock nur für Benutzer mit Root-Rechten eingeschränkt, während das technische Komitee von Debian die Beibehaltung des alten Verhaltens genehmigte, das das Schreiben in /var/lock für alle Benutzer erlaubt.

Die Regeln des Debian-Projekts schreiben vor, dass das ursprüngliche Verhalten der Anwendungen (Einstellungen, die im Upstream festgelegt wurden) beim Erstellen von Paketen beibehalten wird. Um spezifische Änderungen für Debian an Paketen vorzunehmen, die von den Projektregeln abweichen, ist eine spezielle Genehmigung des technischen Komitees erforderlich.

Im Fall von systemd unterstützte das Komitee den Vorschlag, die Änderung nicht zu übernehmen, die die Zugriffsrechte für /var/lock zur Verbesserung der Sicherheit ändert, da die Möglichkeit des öffentlichen Schreibens in das Verzeichnis /var/lock in der FHS-Spezifikation (Filesystem Hierarchy Standard) erwähnt wird und notwendig ist, damit einige vorhandene Programme weiterhin funktionieren können. Beispielsweise verwenden Anwendungen für die Arbeit mit seriellen Ports wie uucp, minicom, mgetty+sendfax und hylafax das Verzeichnis /var/lock, um den Zugriff auf /dev/ttyS*-Geräte durch das Erstellen von Lock-Dateien zu trennen.

Die Notwendigkeit, den Zugriff auf das Verzeichnis /var/lock einzuschränken, wird von den Entwicklern von systemd als Schutz gegen DoS-Angriffe erklärt. Das Verzeichnis /var/lock ist ein symbolischer Link zum Verzeichnis /run/lock. Der Abschnitt mit dem Verzeichnis /run wird normalerweise separat über tmpfs gemountet, und die Möglichkeit einer unkontrollierten Schreiboperation darin kann verwendet werden, um den Abschnitt zu füllen und die Erstellung neuer Dateien in der Hierarchie /run zu blockieren.

Um solche Angriffe bei unbeschränktem Zugriff zu verhindern, wurde in Debian früher ein Patch verwendet, der /run/lock in eine separate kleine tmpfs-Partition einfügte. Im letzten Jahr wurde dieser Patch durch das Unit run-lock.mount ersetzt, und diesen Sommer wurde dieses Unit entfernt, wodurch /run/lock nun im Verzeichnis /run zu finden ist. In den Kommentaren zu der Entscheidung des technischen Komitees empfahl der ehemalige Maintainer von systemd, die erwähnte Änderung nicht zu vergessen und zur separaten Einbindung von /run/lock zurückzukehren, während langfristig alle Anwendungen, die an /run/lock gebunden sind, auf Sperren über den Mechanismus flock umgestellt werden sollten.

Quelle: opennet.ru