Tehniline komitee, mis teeb lõplikud otsused vaidluslike tehniliste küsimuste osas Debianis, on heaks kiitnud muudatuse pakettidesse systemd, mis muudab käitumist katalooge /var/lock haldamisel. Alates väljaandest 258 on süsteemihaldur systemd piiratud kirjutamisõigus katalooge /var/lock ainult root õigustega kasutajatele, samas kui Debian tehniline komitee on heaks kiitnud vana käitumise säilitamise, mis lubab kirjutamist /var/lock kõikidele kasutajatele.
Debiani projekti reeglid määravad, et pakettide loomisel tuleb säilitada rakenduste algne käitumine (seaded, mis on määratud upstreamis). Debiani spetsiifiliste muudatuste tegemiseks, mis rikuvad projekti reegleid, on vajalik tehnilise komitee eriloaga.
Systemdi puhul toetas komitee ettepanekut mitte järgida muudatust, mis muudab juurdepääsu õigusi kataloogide /var/lock, et suurendada turvalisust, kuna avaliku kirjutamise võimalus katalooge /var/lock mainitakse FHS (Filesystem Hierarchy Standard) spetsifikatsioonis ning on vajalik mõnede olemasolevate programmide tööks. Näiteks kasutavad järjestikuste portidega rakendused nagu uucp, minicom, mgetty+sendfax ja hylafax katalooge /var/lock seadmete /dev/ttyS* juurdepääsu jagamiseks lukustusfailide loomise kaudu.
Katalooge /var/lock juurdepääsu piiramise vajadust selgitavad systemdi arendajad DoS-rünnakute kaitsmiseks. Kataloog /var/lock on sümboolne link katalooge /run/lock. Lõik katalooge /run on tavaliselt eraldi montitud tmpfs kaudu ja kirjutamise kontrollimatu võimalus sellesse võib olla kasutatud jagu täitmiseks ning uute failide loomise blokeerimiseks kataloogis /run.
Sarnaste rünnakute välistamiseks, kui juurdepääs on piiramatud, kasutati varem Debianis plaastrit, mis montis katalooge /run/lock eraldi väikese tmpfs jao alla. Eelmisel aastal asendati see plaastriga üksusest run-lock.mount ning selle suvel see üksus eemaldati, pärast mida kataloog /run/lock sattus jaos /run. Tehnilise komitee otsuse kommentaarides soovitas endine systemdi kaasautor mitte unustada toonitatud muudatust ja naasta katalooge /run/lock eraldi montimiseks, ning pikas perspektiivis viia kõik rakendused, mis sõltuvad katalooge /run/lock, lukustama läbi mehhanismi flock.
Allikas: opennet.ru
