Matthias Gerstner de la SUSE-Sekureca Teamo reviziis la ilon Please, kiu estas disvolvata kiel pli sekura alternativo al sudo, skribita en Rust kaj subtenanta regulajn esprimojn. La ilo estas havebla en la deponejoj. Debian Testado kaj Ubuntu 21.04-a de aprilo en la pakaĵo "rust-pleaser". Dum la revizio, oni identigis grupon de vundeblecoj (CVE-2021-31153, CVE-2021-31154, CVE-2021-31155), kiuj kaŭzas kraŝon kaj ne ekskludas la eblecon krei ekspluatojn por pliigi privilegiojn en la sistemo.
La vundeblecoj estis riparitaj en la branĉo Please 0.4 (pakaĵaj ĝisdatigoj jam estis proponitaj por Ubuntu и Debian). Detaloj pri la naturo de la vundeblecoj ankoraŭ ne estas publikigitaj — nur unu ĝenerala flikaĵo kaj mallonga klarigo pri kiuj sekurecaj rekomendoj estis aplikitaj estas haveblaj.
Ekzemploj inkludas ŝanĝi al fd dum elfarado de chmod kaj chown, disigo de la do_environment-voko, ebligado de seteuid/setguid-vokoj, uzi la O_NOFOLLOW-flagon por malŝalti sekvajn simbolligojn, limigi dosierujojn al certa gamo da valoroj, uzi hazardajn signojn en provizoraj dosiernomoj, kaj agordi. limo de agorda dosiergrandeco.
Interese, ke post preparado de la korektoj, montriĝis, ke post instalo de la pakaĵo sur la ruleblaj dosieroj /usr/bin/please kaj /usr/bin/pleaseedit, la setuid flago ne plu estis agordita, kio postulis la adopton de alia flikaĵo kiu malŝaltas la agordo "Reguloj-Bezonas-Radiko: ne""
fonto: opennet.ru
