„SUSE“ saugumo komandos narys Matthias Gerstner atliko „Please“ įrankio, kuris kuriamas kaip saugesnė „sudo“ alternatyva, parašytas „Rust“ kalba ir palaikantis reguliariąsias išraiškas, auditą. Įrankis pasiekiamas saugyklose. Debian Testavimas ir Ubuntu Balandžio 21.04 d. „Rust-pleaser“ pakete. Audito metu buvo nustatyta grupė pažeidžiamumų (CVE-2021-31153, CVE-2021-31154, CVE-2021-31155), kurie sukelia gedimus ir neatmeta galimybės sukurti pažeidžiamumus, skirtus padidinti privilegijas sistemoje.
Pažeidžiamumai buvo ištaisyti „Please 0.4“ šakoje (paketų atnaujinimai jau buvo pasiūlyti). Ubuntu и Debian). Išsami informacija apie pažeidžiamumų pobūdį dar nepaskelbta – pateikiama tik viena bendra pataisa ir trumpas paaiškinimas, kurios saugumo rekomendacijos buvo pritaikytos.
Pavyzdžiai: perjungimas į fd atliekant chmod ir chown, iškvietimo do_environment padalijimas, seteuid/setguid iškvietimų įjungimas, vėliavėlės O_NOFOLLOW naudojimas norint išjungti sekančių simbolių nuorodas, katalogų ribojimas iki tam tikro reikšmių diapazono, atsitiktinių simbolių naudojimas laikinuosiuose failų pavadinimuose ir nustatymas. nustatymų failo dydžio apribojimas.
Įdomu tai, kad parengus pataisymus paaiškėjo, kad įdiegus paketą vykdomuosiuose failuose /usr/bin/please ir /usr/bin/pleaseedit nebebuvo nustatyta setuid vėliavėlė, todėl reikėjo priimti kitą pataisą, kuri išjungia. nustatymas "Taisyklės-Reikalauja-Šaknis: ne"
Šaltinis: opennet.ru
