{"id":183605,"date":"2026-10-05T10:54:21","date_gmt":"2026-10-05T08:54:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/teo-de-raadt-predlozhil-izmeneniya-dlya-ogranicheniya-dostupa-k-fs-cherez-funkcziyu-openat"},"modified":"2026-10-05T10:54:25","modified_gmt":"2026-10-05T08:54:25","slug":"theo-de-raadt-proposed-changes-to-restrict-filesystem-access-via-openat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/theo-de-raadt-proposed-changes-to-restrict-filesystem-access-via-openat","title":{"rendered":"Theo de Raad stelde wijzigingen voor om de toegang tot het bestandssysteem te beperken via de functie openat.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Theo de Raadt heeft voorgesteld een nieuwe mechanism in OpenBSD op te nemen om de aanvalsoppervlakte te verkleinen, ge\u00efmplementeerd via een uitbreiding van de mogelijkheden van de systeemaanroep openat. Patches met de implementatie van extra vlaggen voor openat en open, die de mogelijkheid om naar bovenliggende mappen te navigeren via \"\/..\" en het gebruik van absolute paden te beperken, zijn voorbereid voor de kernel, libc, en enkele applicaties uit het basissysteem. De wijzigingen zijn nog niet opgenomen in OpenBSD-current en zijn in discussie onder ontwikkelaars. <\/p>\n
De openat(2) systeemaanroep werkt als een alternatief voor open(2), behalve dat als in de parameter \"path\" een relatief pad is opgegeven, het te openen bestand wordt bepaald ten opzichte van de map die is gekoppeld aan de bestanddescriptor \"fd\", en niet ten opzichte van de huidige werkmap. Als je een absoluut pad meegeeft aan openat, bijvoorbeeld: int dirfd = open(\"\/tmp\", O_RDONLY | O_DIRECTORY); int hfd = openat(dirfd, \"\/etc\/hosts\", O_RDONLY); <\/p>\n
de openat() functie negeert \"dirfd\" en als gevolg daarvan wordt het absolute pad op de gebruikelijke manier behandeld. <\/p>\n
Daarom versterkt het vervangen van open() door openat() op zichzelf de veiligheid van het programma niet. Een dergelijke aanroep kan de padontleding versnellen, maar beperkt de toegang tot het bestandssysteem niet. De flags die absolute paden verbieden (zoals RESOLVE_BENEATH en\/of RESOLVE_IN_ROOT voor openat2 in Linux) garanderen ook geen bescherming: de programmeur moet deze toevoegen aan alle relevante aanroepen, en wanneer de controle over het proces wordt overgenomen, kan een aanvaller andere paden voor het openen van bestanden benutten. <\/p>\n
Tijdens het werken aan de utility openrsync, had Theo de behoefte om de mogelijkheden ervan voor het navigeren door het bestandssysteem te beperken, maar het was niet mogelijk om dit te doen met behulp van de functies unveil() en pledge(). Toen ontstond het idee voor een mechanisme dat vergelijkbaar is met openat(), maar met beveiligingskenmerken die pledge\/unveil aanvullen of zelfs kunnen functioneren zonder deze. <\/p>\n
Het belangrijkste idee is om beperkingen onderdeel te maken van de bestanddescriptor zelf. Daartoe wordt een vlag F_BELOW voorgesteld, die kan worden ingesteld via fcntl(), of de vlag O_BELOW voor open(). Een op deze manier beperkte descriptor \"dirfd\" zal alleen doorgangen naar beneden door de mappenstructuur toestaan: openat() aanroepen met een absoluut pad of met het omhoog navigeren via \"..\" zullen eindigen met de foutmelding ENOENT. In het geval van een aanval die leidt tot code-uitvoering, zal de tabel van bestanddescriptoren van het proces minder functionele \"dirfd\" bevatten, wat de aanvalsoppervlakte zal beperken. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"