{"id":183605,"date":"2026-10-05T10:54:21","date_gmt":"2026-10-05T08:54:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/teo-de-raadt-predlozhil-izmeneniya-dlya-ogranicheniya-dostupa-k-fs-cherez-funkcziyu-openat"},"modified":"2026-10-05T10:54:25","modified_gmt":"2026-10-05T08:54:25","slug":"theo-de-raadt-proposed-changes-to-restrict-filesystem-access-via-openat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/theo-de-raadt-proposed-changes-to-restrict-filesystem-access-via-openat","title":{"rendered":"Theo de Raadt prop\u00f4s mudan\u00e7as para restringir o acesso ao FS atrav\u00e9s da fun\u00e7\u00e3o openat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Theo de Raadt prop\u00f4s incluir um novo mecanismo no OpenBSD para reduzir a superf\u00edcie de ataque, implementado por meio da amplia\u00e7\u00e3o das funcionalidades da chamada de sistema openat. Os patches com a implementa\u00e7\u00e3o de flags adicionais para openat e open, que limitam a possibilidade de navega\u00e7\u00e3o para diret\u00f3rios superiores atrav\u00e9s de \"..\/\" e acessos via caminhos absolutos, foram preparados para o n\u00facleo, libc, bem como para alguns aplicativos do sistema base. As mudan\u00e7as ainda n\u00e3o foram inclu\u00eddas no OpenBSD-current e est\u00e3o em fase de discuss\u00e3o entre os desenvolvedores. <\/p>\n
A fam\u00edlia de chamadas de sistema openat(2) funciona como um an\u00e1logo ao open(2), exceto pelo fato de que, se o par\u00e2metro \"path\" especificar um caminho relativo, o arquivo a ser aberto \u00e9 determinado em rela\u00e7\u00e3o ao diret\u00f3rio associado ao descritor de arquivo \"fd\", e n\u00e3o em rela\u00e7\u00e3o ao diret\u00f3rio de trabalho atual. Se um caminho absoluto for passado para openat, por exemplo: int dirfd = open(\"\/tmp\", O_RDONLY | O_DIRECTORY); int hfd = openat(dirfd, \"\/etc\/hosts\", O_RDONLY); <\/p>\n
A fun\u00e7\u00e3o openat() ignorar\u00e1 \"dirfd\" e, como consequ\u00eancia, o caminho absoluto ser\u00e1 tratado normalmente. <\/p>\n
Portanto, a substitui\u00e7\u00e3o de open() por openat() n\u00e3o aumenta a seguran\u00e7a do programa por si s\u00f3. Essa chamada pode acelerar a an\u00e1lise do caminho, mas n\u00e3o limita o acesso ao sistema de arquivos. As flags que pro\u00edbem caminhos absolutos (como RESOLVE_BENEATH e\/ou RESOLVE_IN_ROOT para openat2 no Linux) tamb\u00e9m n\u00e3o garantem prote\u00e7\u00e3o: o programador deve adicion\u00e1-las a todas as chamadas apropriadas, e, ao assumir o controle do processo, um invasor pode explorar outros caminhos para abrir arquivos. <\/p>\n
Durante o desenvolvimento da ferramenta openrsync, Theo se deparou com a necessidade de restringir suas capacidades de navega\u00e7\u00e3o no sistema de arquivos, mas n\u00e3o foi poss\u00edvel fazer isso usando as fun\u00e7\u00f5es unveil() e pledge(). Ent\u00e3o, surgiu a ideia de um mecanismo semelhante ao openat(), mas com propriedades de seguran\u00e7a que complementam pledge\/unveil ou at\u00e9 mesmo funcionam na aus\u00eancia delas. <\/p>\n
A ideia principal \u2014 integrar restri\u00e7\u00f5es ao pr\u00f3prio descritor de diret\u00f3rio. Para isso, \u00e9 proposto o flag F_BELOW, que pode ser definido atrav\u00e9s de fcntl(), ou o flag O_BELOW para open(). Um descritor \"dirfd\" restringido dessa forma permitir\u00e1 apenas transi\u00e7\u00f5es para baixo na \u00e1rvore de diret\u00f3rios: chamadas openat() com caminho absoluto ou com transi\u00e7\u00f5es para cima atrav\u00e9s de \"..\" resultar\u00e3o em um erro ENOENT. Em caso de ataque que leve \u00e0 execu\u00e7\u00e3o de c\u00f3digo, a tabela de descritores de arquivos do processo conter\u00e1 \"dirfd\" menos funcionais, o que limitar\u00e1 a superf\u00edcie de ataque. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"