[devel] IA: time to fix /var/lock problem

[devel] IA: time to fix /var/lock problem

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1945 bytes --]

Greetings!

Вкратце суть вопроса:
/var/lock - традиционное место для размещения lock-файлов разной природы.
Разные программы создают такие файлы как непосредственно в /var/lock, так
и в его подкаталогах. По исторически сложившейся традиции, права доступа
на этот каталог сделаны такими (%attr(root,uucp,775)), чтобы разные
утилиты, осуществляющие доступ к последовательным портам, могли создавать
и удалять блокировки (как свои, так и чужие) в этом каталоге. Однако эта
схема является потенциально опасной: уязвимость в одной из компонент
системы, которая имеет доступ по записи к каталогу /var/lock, может быть
использована для манипулирования другими lock-файлами с целью взлома
системы в целом (подобная проблема в свое время привела к переработке
скриптов /etc/cron.*/makewhatis и выкладыванию пакета man в updates).

Предлагаемое решение:
Вместо /var/lock использовать для блокировки последовательных портов
каталог /var/lock/serial (%attr(root,serial,770)), вернув /var/lock
нормальное значение (%attr(root,root,755)). Для этого необходимо
пересобрать и протестировать работу всех пакетов, работающих с
последовательными портами. По памяти, это pppd, wvdial, minicom, uucp,
mgetty, hylafax; уверен, что этот список неполон.
Просьба всем maintainer'ам проверить свои пакеты на предмет того,
требуется ли их пересобирать с lockdir=/var/lock/serial или нет.
Если Вы чувствуете, что не можете этого сделать - обязательно напишите мне
об том; один "забытый" пакет может нарушить нормальное функционирование
других пакетов, работающих с последовательными портами.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [devel] IA: time to fix /var/lock problem

[Ivan Zakharyaschev]

	Hello!

On Mon, 1 Oct 2001, Dmitry V. Levin wrote:

> Предлагаемое решение:
> Вместо /var/lock использовать для блокировки последовательных портов
> каталог /var/lock/serial (%attr(root,serial,770)), вернув /var/lock

А какие права на /dev/ttyS* и т.п.? Как предполагается определять круг
пользователей, которым будет доступна работа с этими устройствами?

Меняем ли мы разрешение группе uucp писать в /dev/ttyS1 на разрешение
группе serial?

> нормальное значение (%attr(root,root,755)). Для этого необходимо
> пересобрать и протестировать работу всех пакетов, работающих с
> последовательными портами. По памяти, это pppd, wvdial, minicom,
> uucp,
> mgetty, hylafax; уверен, что этот список неполон.

Я пересоберу и потестирую minicom к вечеру четверга.

> Просьба всем maintainer'ам проверить свои пакеты на предмет того,
> требуется ли их пересобирать с lockdir=/var/lock/serial или нет.
> Если Вы чувствуете, что не можете этого сделать - обязательно
> напишите мне
> об том; один "забытый" пакет может нарушить нормальное
> функционирование
> других пакетов, работающих с последовательными портами.

-- 
Best regards,
	Ivan Z.

_______________________________________________
Devel mailing list
Devel@linux.iplabs.ru
http://www.logic.ru/mailman/listinfo/devel

Re: [devel] IA: time to fix /var/lock problem

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1227 bytes --]

On Tue, Oct 02, 2001 at 09:01:14PM +0400, Ivan Zakharyaschev wrote:
> > Предлагаемое решение:
> > Вместо /var/lock использовать для блокировки последовательных портов
> > каталог /var/lock/serial (%attr(root,serial,770)), вернув /var/lock
> 
> А какие права на /dev/ttyS* и т.п.? Как предполагается определять круг
> пользователей, которым будет доступна работа с этими устройствами?

По прежнему по умолчанию никому.

> Меняем ли мы разрешение группе uucp писать в /dev/ttyS1 на разрешение
> группе serial?

Да.

> > нормальное значение (%attr(root,root,755)). Для этого необходимо
> > пересобрать и протестировать работу всех пакетов, работающих с
> > последовательными портами. По памяти, это pppd, wvdial, minicom,
> > uucp,
> > mgetty, hylafax; уверен, что этот список неполон.
> 
> Я пересоберу и потестирую minicom к вечеру четверга.

ok.


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [devel] IA: time to fix /var/lock problem

[Sir Raorn]

[-- Attachment #1: Type: text/plain, Size: 526 bytes --]

On Mon, Oct 01, 2001 at 07:07:47PM +0400, Dmitry V. Levin wrote:
> Вместо /var/lock использовать для блокировки последовательных портов
> каталог /var/lock/serial (%attr(root,serial,770))
хм... мне кажется это все равно не очень красиво :-( может взять BSD'шный
/var/spool/lock ?

-- 
                                      Regards, Sir Raorn.
,-----------------------------------.----------------------.
|   Registered Linux user #177282   |  ICQ UIN #68527095   |
`-----------------------------------^----------------------'

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]