{"id":183605,"date":"2026-10-05T10:54:21","date_gmt":"2026-10-05T08:54:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/teo-de-raadt-predlozhil-izmeneniya-dlya-ogranicheniya-dostupa-k-fs-cherez-funkcziyu-openat"},"modified":"2026-10-05T10:54:25","modified_gmt":"2026-10-05T08:54:25","slug":"theo-de-raadt-proposed-changes-to-restrict-filesystem-access-via-openat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/theo-de-raadt-proposed-changes-to-restrict-filesystem-access-via-openat","title":{"rendered":"Teo de Raadt predlo\u017eio je promjene za ograni\u010davanje pristupa FSa putem funkcije openat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Theo de Raadt predlo\u017eio je uklju\u010divanje novog mehanizma u OpenBSD za smanjenje povr\u0161ine napada, implementiranog kroz pro\u0161irenje funkcionalnosti sistemskog poziva openat. Zak patches s implementacijom dodatnih flagova za openat i open, koji ograni\u010davaju mogu\u0107nost prelaska u gornje direktorije putem «\/..» i pristupanju putem apsolutnih putanja, pripremljeni su za jezgru, libc, kao i za neke aplikacije iz osnovnog sistema. Promjene jo\u0161 nisu uklju\u010dene u OpenBSD-current i trenutno su u fazi rasprave me\u0111u programerima. <\/p>\n
Obitelj sistemskih poziva openat(2) funkcionira kao analog open(2) osim \u0161to, ako je u parametru «path» navedena relativna putanja, otvorena datoteka se odre\u0111uje u odnosu na direktorij povezan s datote\u010dnim descriptorom «fd», a ne u odnosu na trenutni radni direktorij. Ako se openat pozove s apsolutnom putanjom, na primjer: int dirfd = open(«\/tmp», O_RDONLY | O_DIRECTORY); int hfd = openat(dirfd, «\/etc\/hosts», O_RDONLY); <\/p>\n
funkcija openat() \u0107e ignorirati «dirfd» i, kao posljedica, apsolutna putanja \u0107e se obraditi na uobi\u010dajen na\u010din. <\/p>\n
Stoga sama zamjena open() s openat() ne pobolj\u0161ava sigurnost programa. Takav poziv mo\u017ee ubrzati analizu putanje, ali ne ograni\u010dava pristup datote\u010dnom sustavu. Ni zastavice koje zabranjuju apsolutne putanje (npr. RESOLVE_BENEATH i\\\/ili RESOLVE_IN_ROOT za openat2 u Linuxu) ne jam\u010de za\u0161titu: programer ih mora dodati svim odgovaraju\u0107im pozivima, a u slu\u010daju preuzimanja kontrole nad procesom, napada\u010d mo\u017ee iskoristiti druge mogu\u0107nosti otvaranja datoteka. <\/p>\n
Tijekom rada na alatu openrsync, Teo je imao potrebu ograni\u010diti njegove mogu\u0107nosti za prolazak kroz datote\u010dni sustav, ali to nije bilo mogu\u0107e ostvariti pomo\u0107u funkcija unveil() i pledge(). Tada se pojavila ideja o mehanizmu sli\u010dnom openat(), ali s sigurnosnim svojstvima koja dopunjuju pledge\\\/unveil ili \u010dak funkcioniraju bez njih. <\/p>\n
Osnovna ideja — u\u010diniti ograni\u010denja dijelom samog deskriptora direktorija. U tu svrhu predla\u017ee se flag F_BELOW, koji se mo\u017ee postaviti putem fcntl(), ili flag O_BELOW za open(). Ograni\u010deni na taj na\u010din deskriptor «dirfd» dopu\u0161ta samo prelaze prema dolje u drvo direktorija: pozivi openat() s apsolutnom putanjom ili s prelazom prema gore putem «..» zavr\u0161it \u0107e s gre\u0161kom ENOENT. U slu\u010daju napada koji dovodi do izvr\u0161enja koda, tablica datote\u010dnih deskriptora procesa \u0107e sadr\u017eavati manje funkcionalne «dirfd», \u010dime \u0107e se smanjiti povr\u0161ina napada. \n Izvor: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"