2007年11月30日

[selinux-users:02075] Re: setrlimitを許可するようなタイプはありませんでしょうか。


中村です。

> 悪意あるユーザが自力ではオープンできないセキュリティコンテキストが付いているファイルのハードリンクを作って
> システム管理者が /.autorelabel を作って再起動してくれるのを待っているかもしれませんからね。
SELinuxでは、ハードリンクを作るには、
linkパーミッションを持つ必要があります。

例えば、/etc/shadowは、shadow_tタイプがついてます。
こいつへのハードリンクを作るには、shadow_tへのlinkパーミッションが必要です。
悪意あるユーザは、普通それへのパーミッションは持ってないので、
ハードリンクは作れないと思われます。

> > 但し、"unconfined" と付いているように、このドメインは非常に強い
> > 権限を持っており、入力値の検査には注意するようにしてください。
> > 例えば、暗号化する文字列に「a"; cat /etc/shadow; echo "abc」なんて
> > 入っていたらとても悲しいことになります。
ポリシ追加無しでやっていくのは大変ですね。
そうなれば、
SELinux Policy Editorを使い、
好きなようにポリシを書いたほうがいいかも(汗

--
Yuichi Nakamura

投稿者 xml-rpc : 2007年11月30日 08:49
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/67047
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。