Il comitato tecnico, che prende le decisioni finali riguardo questioni tecniche controverse nel progetto Debian, ha approvato una modifica al pacchetto con systemd, che cambia il comportamento nella gestione della directory /var/lock. A partire dalla versione 258, il gestore di sistema systemd ha limitato la possibilità di scrittura nella directory /var/lock solo per gli utenti con privilegi di root, mentre il comitato tecnico Debian ha approvato di mantenere il vecchio comportamento, consentendo la scrittura in /var/lock a qualsiasi utente.
Le regole del progetto Debian prescrivono di mantenere il comportamento originale delle applicazioni (configurazioni impostate in upstream) durante la creazione dei pacchetti. Per apportare modifiche specifiche per Debian ai pacchetti, in violazione delle regole del progetto, è necessaria un'autorizzazione speciale dal comitato tecnico.
Nel caso di systemd, il comitato ha sostenuto la proposta di non seguire la modifica che cambia i diritti di accesso a /var/lock per aumentare la sicurezza, poiché la possibilità di scrittura pubblica nella directory /var/lock è menzionata nelle specifiche FHS (Filesystem Hierarchy Standard) ed è necessaria per il funzionamento di alcuni programmi esistenti. Ad esempio, le applicazioni per gestire le porte seriali, come uucp, minicom, mgetty+sendfax e hylafax, utilizzano la directory /var/lock per gestire l'accesso ai dispositivi /dev/ttyS* tramite la creazione di file di blocco.
La necessità di limitare l'accesso alla directory /var/lock è spiegata dagli sviluppatori di systemd come protezione contro attacchi DoS. La directory /var/lock è un collegamento simbolico alla directory /run/lock. Il comparto con la directory /run viene di solito montato separatamente tramite tmpfs e la possibilità di scrittura incontrollata in essa può essere utilizzata per saturare il comparto e impedire la creazione di nuovi file nella gerarchia /run.
Per escludere attacchi simili con accesso illimitato, in precedenza su Debian veniva utilizzata una patch che montava /run/lock in una piccola partizione tmpfs separata. L'anno scorso, questa patch è stata sostituita dall'unità run-lock.mount, e quest'estate quest'unità è stata rimossa, portando /run/lock a trovarsi nella partizione /run. Nei commenti alla decisione del comitato tecnico, l'ex maintainer di systemd ha raccomandato di non dimenticare la modifica evidenziata e di tornare a un montaggio separato di /run/lock, e a lungo termine di migrare tutte le applicazioni collegate a /run/lock alle chiusure tramite il meccanismo flock.
Fonte: opennet.ru
