Komiteti teknik, që merr vendime përfundimtare në lidhje me çështjet teknike të kontestuara në projektin Debian, miratoi një ndryshim në paketën me systemd, e cila ndalon shkrimin në katalogun /var/lock. Menaxheri i sistemit systemd, duke filluar nga versioni 258, e kufizoi mundësinë e shkrimit në katalogun /var/lock vetëm për përdoruesit me të drejta root, ndërsa komiteti teknik i Debian miratoi mbajtjen e sjelljes së vjetër, e cila lejon shkrimin në /var/lock nga çfarëdo përdoruesi.
Rregullat e projektit Debian parashikojnë ruajtjen e sjelljes së origjinës së aplikacioneve (konfigurimet e vendosura në upstream) gjatë krijimit të pakove. Për të bërë ndryshime specifike për Debian në paketa, që shkelin rregullat e projektit, kërkohet marrja e një lejeje të veçantë nga komiteti teknik.
Në rastin e systemd, komiteti mbështeti propozimin për të mos ndjekur ndryshimin që ndryshon të drejtat e aksesit në /var/lock me qëllim përforcimin e sigurisë, pasi mundësia e shkrimit publik në katalogun /var/lock përmendet në specifikimin FHS (Filesystem Hierarchy Standard) dhe është e nevojshme për vazhdimin e funksionimit të disa programeve ekzistuese. Për shembull, aplikacionet për të punuar me porte sekondare, si uucp, minicom, mgetty+sendfax dhe hylafax, përdorin katalogun /var/lock për të ndarë aksesin në pajisjet /dev/ttyS* përmes krijimit të skedarëve të bllokimit.
Nevoja për të kufizuar aksesin në katalogun /var/lock shpjegohet nga zhvilluesit e systemd si një mbrojtje kundër sulmeve DoS. Katalogu /var/lock është një lidhje simbolike me katalogun /run/lock. Ndara me katalogun /run zakonisht montohet në mënyrë të veçantë përmes tmpfs dhe mundësia e shkrimit pa kontroll në të mund të përdoret për të mbushur ndarjen dhe për të bllokuar krijimin e skedarëve të rinj në hierarkinë /run.
Për të eliminuar realizimin e sulmeve të tilla në prani të qasjes së pakufizuar, më parë në Debian është përdorur një patch, që monton \/run\/lock në një ndarje të vogël tmpfs. Vitin e kaluar, ky patch u zëvendësua me njësinë run-lock.mount, dhe këtë verë kjo njësitë u hoq, pas së cilës \/run\/lock u gjet në ndarjen \/run. Në komentet e vendimit të komitetit teknik, ish-mbajtësi i systemd rekomandoi që të mos harrohet ky ndryshim dhe të kthehemi në montimin e veçantë të \/run\/lock, dhe në perspektivën afatgjatë, të kalojmë të gjitha aplikacionet që varen nga \/run\/lock në ndalimet duke përdorur mekanizmin flock.
Burimi: opennet.ru
