A technikai bizottság, amely a Debian projekt vitás technikai kérdéseivel kapcsolatban végső döntéseket hoz, jóváhagyta a systemd csomagban végrehajtandó módosítást, amely megváltoztatja a /var/lock mappával való bánásmódot. A systemd rendszerkezelő a 258-as verziótól kezdve korlátozta a /var/lock mappába való írás lehetőségét csak root jogosultsággal rendelkező felhasználók számára, míg a Debian technikai bizottság jóváhagyta a régi viselkedés fenntartását, amely lehetővé teszi, hogy bármely felhasználó írjon a /var/lock mappába.
A Debian projekt szabályai előírják, hogy a csomagok készítésekor meg kell tartani az alkalmazások (upstream-ben beállított) alapértelmezett viselkedését. A Debianra jellemző módosítások végrehajtásához, amelyek eltérnek a projekt szabályaitól, külön engedélyt kell kérni a technikai bizottságtól.
A systemd esetében a bizottság támogatta azt a javaslatot, hogy ne kövessék azt a módosítást, amely megváltoztatja a /var/lock mappa hozzáférési jogait a biztonság növelése érdekében, mivel a nyilvános írás lehetősége a /var/lock mappába említve van a FHS (Filesystem Hierarchy Standard) specifikációban, és szükséges néhány meglévő program, például a soros portok kezelésére szolgáló alkalmazások, mint a uucp, minicom, mgetty+sendfax és hylafax, működéséhez. Ezek az alkalmazások a /var/lock mappát használják az eszközök /dev/ttyS* közötti hozzáférés elválasztására a zárolási fájlok létrehozásával.
A /var/lock mappa hozzáférésének korlátozásának szükségességét a systemd fejlesztői a DoS támadások elleni védekezéssel indokolják. A /var/lock mappa a /run/lock mappára mutató szimbolikus hivatkozás. A /run mappa általában külön kerül mountolásra a tmpfs-en keresztül, és a korlátlan írás lehetősége ebbe a mappába a mappa túltöltésére használható, amely blokkolja az új fájlok létrehozását a /run hierarchiájában.
Az ilyen támadások elkerülése érdekében, amikor korlátlan hozzáférés áll fenn, a Debian korábban egy javítást használt, amely a /run/lock-ot egy külön, kis tmpfs partícióra csatolta. Tavaly ezt a javítást a run-lock.mount egység váltotta fel, és idén nyáron ezt az egységet eltávolították, így a /run/lock a /run partícióban található. A műszaki bizottság döntéseihez kapcsolódó megjegyzésekben a korábbi systemd karbantartó ajánlotta, hogy ne felejtsük el a megjegyzett változást, és térjünk vissza a /run/lock különcsatolásához, hosszú távon pedig minden, a /run/lock-ra épülő alkalmazást a flock mechanizmus segítségével történő zárolásra kellene átállítani.
Forrás: opennet.ru
