From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Wed, 1 Feb 2023 06:24:44 +0300 From: Vitaly Chikunov To: ALT Linux kernel packages development Message-ID: <20230201032444.k5ds6dypjc2yfvmw@altlinux.org> References: <20230126195017.1654866-1-vt@altlinux.org> <20230130200922.u2rk7yquxnglltb7@altlinux.org> <20230131213134.GB446@altlinux.org> MIME-Version: 1.0 Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit In-Reply-To: <20230131213134.GB446@altlinux.org> Subject: Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl X-BeenThere: devel-kernel@lists.altlinux.org X-Mailman-Version: 2.1.12 Precedence: list Reply-To: ALT Linux kernel packages development List-Id: ALT Linux kernel packages development List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Wed, 01 Feb 2023 03:24:45 -0000 Archived-At: List-Archive: List-Post: On Wed, Feb 01, 2023 at 12:31:34AM +0300, Alexey V. Vissarionov wrote: > On 2023-01-30 23:09:22 +0300, Vitaly Chikunov wrote: > > >>> `kernel.unprivileged_io_uring_disabled=1' is set to > >>> disable io_uring functionality for non-roots (default). > >> Set to 0 to allow io_uring. > >> Это уже откровенное вредительство. Вы ещё epoll отключите, > >> или unlink. > > Не закрытие проблем безопасности может быть интерпретировано > > как вредительство даже в большей степени. > > Нарушение доступности само по себе является инцидентом ИБ. > И в данном случае оно создает больший риск (более вероятно > при, будем считать, том же ущербе), нежели менее вероятное > (хотя да, теоретически возможное) нарушение секретности или > целостности при включенном IO_URING. Как оценивается вероятность эксплуатации уязвимости, для которой опубликован эксплоит? > > На всякий случай: IO_URING используется для BLK_DEV_UBLK > (и, кстати, больше пока ни для чего). > > > В RHEL/Centos io_uring отключен на уровне конфигурации > > ядра[1]. > > А в апстриме секция "config IO_URING" в файле init/Kconfig > содержит "default y", и кому верить? :-) > > > У нас же предлагается дать возможность администратору > > системы решать. > > "Решать" - это kernel.unprivileged_io_uring_disabled (на кой > хрен оно нужно, мне неочевидно, ибо security/selinux/hooks.c > предусматривает selinux_uring_override_creds(), ну да пусть > будет: еще один параметр настройки пока никому не вредил). > > А изменение значения по умолчанию - уже "решать за него". > > > -- > Alexey V. Vissarionov > gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii > GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net > _______________________________________________ > devel-kernel mailing list > devel-kernel@lists.altlinux.org > https://lists.altlinux.org/mailman/listinfo/devel-kernel