En teknisk kommitté som fattar slutgiltiga beslut om kontroversiella tekniska frågor i ett projekt Debian, godkände en ändring i systemd-paketet som ändrar beteendet hos katalogen /var/lock. Systemhanteraren systemd, från och med version 258, begränsade skrivning till katalogen /var/lock till root-användare, medan den tekniska kommittén Debian godkände att det gamla beteendet att tillåta vilken användare som helst att skriva till /var/lock behölls.
Projektregler Debian föreskriva att bevara applikationernas ursprungliga beteende (inställningar som anges i uppströmsläge) vid generering av paket. För att introducera specifika inställningar i paket Debian Ändringar som kringgår projektets regler kräver särskilt tillstånd från tekniska kommittén.
När det gäller systemd stödde kommittén förslaget att inte implementera ändringen som ändrar behörigheterna för /var/lock för att förbättra säkerheten, eftersom offentligt skrivbar åtkomst till katalogen /var/lock nämns i Filesystem Hierarchy Standard (FHS)-specifikationen och är nödvändig för fortsatt drift av vissa befintliga program. Till exempel använder serieportapplikationer som uucp, minicom, mgetty+sendfax och hylafax katalogen /var/lock för att begränsa åtkomst till /dev/ttyS*-enheter genom att skapa låsfiler.
Behovet av att begränsa åtkomsten till katalogen /var/lock förklaras av systemd-utvecklarna för att skydda mot DoS-attacker. Katalogen /var/lock är en symbolisk länk till katalogen /run/lock. Partitionen som innehåller katalogen /run monteras vanligtvis separat via tmpfs, och möjligheten att skriva till den utan tillstånd kan användas för att fylla partitionen och blockera skapandet av nya filer i /run-hierarkin.
För att förhindra liknande attacker från att inträffa i närvaro av obegränsad åtkomst tidigare i Debian En patch användes som monterade /run/lock på en separat, liten tmpfs-partition. Förra året ersattes denna patch med run-lock.mount-enheten, och i somras togs denna enhet bort, varefter /run/lock hamnade på /run-partitionen. I kommentarer till den tekniska kommitténs beslut rekommenderade den tidigare systemd-utvecklaren att man skulle ha denna ändring i åtanke och återgå till en separat montering av /run/lock, och på lång sikt att byta alla applikationer som förlitar sig på /run/lock till flock locks.
Källa: opennet.ru
