रस्टमा लेखिएको सुडो विकल्प, कृपया मा कमजोरीहरू

SUSE सुरक्षा टोलीका माथियस गर्स्टनरले प्लिज युटिलिटीको अडिट गरे, जुन sudo को लागि अझ सुरक्षित विकल्पको रूपमा विकास भइरहेको छ, रस्टमा लेखिएको छ र नियमित अभिव्यक्तिहरूलाई समर्थन गर्दछ। यो युटिलिटी रिपोजिटरीहरूमा उपलब्ध छ। Debian परीक्षण र Ubuntu अप्रिल २१ मा रस्ट-प्लेजर प्याकेजमा। लेखा परीक्षणको क्रममा, कमजोरीहरूको समूह (CVE-2021-31153, CVE-2021-31154, CVE-2021-31155) पहिचान गरियो जसले क्र्यास निम्त्याउँछ र प्रणालीमा विशेषाधिकार बढाउनको लागि शोषण सिर्जना गर्ने सम्भावनालाई बहिष्कार गर्दैन।

कृपया ०.४ शाखामा कमजोरीहरू समाधान गरिएको छ (प्याकेज अद्यावधिकहरू पहिले नै प्रस्ताव गरिएको छ) Ubuntu и Debian)। जोखिमहरूको प्रकृतिको बारेमा विवरणहरू अझै जारी गरिएको छैन - केवल एउटा सामान्य प्याच र कुन सुरक्षा सिफारिसहरू लागू गरिएको छ भन्ने बारे संक्षिप्त व्याख्या उपलब्ध छ।

उदाहरणका लागि, chmod र chown गर्दा fd प्रयोग गर्ने, do_environment कल विभाजन गर्ने, seteuid/setguid कलहरू प्रयोग गर्ने, निम्न प्रतीकात्मक लिङ्कहरू असक्षम पार्न O_NOFOLLOW झण्डा प्रयोग गर्ने, निर्देशिकाहरूलाई मानहरूको निश्चित दायरामा सीमित गर्ने, अस्थायी फाइल नामहरूमा अनियमित वर्णहरू प्रयोग गर्ने, र सेटिङ फाइलको आकारमा सीमा सेट गर्ने जस्ता कुराहरू उल्लेख गरिएका छन्।

चाखलाग्दो कुरा के छ भने, प्याचहरू तयार गरेपछि, प्याकेज स्थापना गरेपछि, setuid झण्डा कार्यान्वयनयोग्य फाइलहरू /usr/bin/please र /usr/bin/pleaseedit मा सेट नभएको पत्ता लाग्यो, जसको लागि "Rules-Requires-Root: no" सेटिङ असक्षम पार्दै अर्को प्याच अपनाउनु आवश्यक थियो।

स्रोत: opennet.ru