Re: [devel] Q: hiding security sensitive info

Re: [devel] Q: hiding security sensitive info

[Denis Ovsienko]

> Прочитал ещё раз вопрос и понял - в этом случае ничто не помешает
> загрузить на хост и запустить статически слинкованный бинарник who. Но
> это значительно усложнит жизнь злоумышленнику. Особенно если доступа к
> средствам загрузки тоже нет.
ssh == scp. Или на худой конец закинуть в терминал hexdump, а на хосте его
сконвертировать со стандартного ввода назад и записать в файл. Или
netcat'ом. Или ещё 1000 способов.

> Данный вопрос можно распространить на информацию, выдаваемую следующими
> утилитами: dmesg, mount, netstat, ps, uname, df, free, last, lastlog,
> id, groups, pstree, quota, fdisk, chkconfig, lsmod, ifconfig, ip, route
> и многими других.
Тут нужно блокировать API, который эту информацию предоставляет. Кто-то,
мне помнится, хвастался, что крутил какую-то систему и запретил руту
создавать файлы, а пользователю разрешил поднимать сетевые интерфйесы. Не
RSBAC ли...


--
    DO4-UANIC

[devel] Re: Q: hiding security sensitive info

[Anton V. Boyarshinov]

On Thu, 4 Dec 2003 15:26:39 -0000 Anton V. Denisov
 wrote:

> Это подразумевает, что у
> пользователя есть доступ на запись к некоторым каталогам,
> которые находятся на разделе, смонтированном с параметром
> 'exec'.

Даже с разделов, смонтированных noexec запуск программ возможен.
При помощи /lib/ld-linux.so.2, если не ошибаюсь.

Антон
-- 
mailto:boyarsh@mail.ru
mailto:boyarsh@ru.echo.fr
 10:08:00  up 11 days, 23:25,  8 users,  load average: 0.08,
0.35, 0.21

[devel] Re: Q: hiding security sensitive info

[Alexey Tourbin]

[-- Attachment #1: Type: text/plain, Size: 665 bytes --]

On Thu, Dec 04, 2003 at 10:12:48AM +0300, Anton V. Boyarshinov wrote:
> > Это подразумевает, что у
> > пользователя есть доступ на запись к некоторым каталогам,
> > которые находятся на разделе, смонтированном с параметром
> > 'exec'.
> 
> Даже с разделов, смонтированных noexec запуск программ возможен.
> При помощи /lib/ld-linux.so.2, если не ошибаюсь.

Я недавно размышлял над тем, чтобы пропатчить ld.so, чтобы он не
запускал бинарных исполняемых файлов, которые находятся на разделе с
noexec.  Впрочем, исходников я пока не изучал.  И всё-таки ld.so -- это
составная часть процесса выполнения execve(2), т.е. проверка из ядра
выносится наружу, а это чревато.

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Q: hiding security sensitive info

[Anton V. Denisov]

Приветствую всех.

Прошу прощения за отступление от тематики данного списка рассылки, но
altlinux-security@ у нас пока нет.

Возник у меня следующий вопрос: как непривилегированный пользователь
может получить список пользователей, вошедших в систему? Предполагается,
что доступа к /usr/bin/{w,who} у пользователя нет. Также он не может
скомпилировать и выполнить на хосте свою программу, но может загрузить
её на хост уже в скомпилированном виде. Это подразумевает, что у
пользователя есть доступ на запись к некоторым каталогам, которые
находятся на разделе, смонтированном с параметром 'exec'.

Прочитал ещё раз вопрос и понял - в этом случае ничто не помешает
загрузить на хост и запустить статически слинкованный бинарник who. Но
это значительно усложнит жизнь злоумышленнику. Особенно если доступа к
средствам загрузки тоже нет.

Данный вопрос можно распространить на информацию, выдаваемую следующими
утилитами: dmesg, mount, netstat, ps, uname, df, free, last, lastlog,
id, groups, pstree, quota, fdisk, chkconfig, lsmod, ifconfig, ip, route
и многими других.

С помощью этих и других утилит пользователь может получить довольно
много информации о системе, поэтому я бы для себя поставил их на
control(8), но в этом не будет смысла, если пользователь сможет получить
эту информацию другими путями - про это и был мой первоначальный вопрос.

Openwall Linux Kernel Patch несколько улучшает ситуацию, защищая /proc,
но этого явно недостаточно.

Помню нашёл на одном web сервер дырявый cgi скрипт, который позволял
выполнять системные команды. Выполнил id, чтобы узнать что, я nobody (это
и предполагалось), потом who, а потом отослал /etc/passwd админу сервера
(я его знал :-)). Так вот хочется защититься от подобных вещей. Если бы
у пользователя nobody изначально не было прав запускать что-либо из
$PATH, то мне бы пришлось гораздо труднее в данном случае.

Конечно, когда пользователи имеют удалённый доступ и полноценный shell,
то такую защиту применить труднее. Но меня больше интересует случай
использования аккаунта непривилегированного пользователя, полученного
через удалённую уязвимость или как в случае описанном выше.

P.S. Очень буду благодарен за ответ на это письмо или направление - куда
читать.. Наверное я параноик :-][
P.P.S. Что лучше почитать про систему kernel capabilities?

--
With best regards, Anton V. Denisov.
In silent deep without hope.
'-- MARK --' is my favourite log-entry.

Re: [devel] Re: Q: hiding security sensitive info

[Anton V. Denisov]

On Thu, Dec 04, 2003 at 10:12:48AM +0300, Anton V. Boyarshinov wrote:

> Даже с разделов, смонтированных noexec запуск программ возможен.
> При помощи /lib/ld-linux.so.2, если не ошибаюсь.

Это ошибка или особенность? Особенность чего? Что почитать про это?

Всё-таки надо смотреть на RSBAC и прочие аналогичные средства.

Re: [devel] Q: hiding security sensitive info

[Anton V. Denisov]

On Thu, Dec 04, 2003 at 07:54:44AM +0200, Denis Ovsienko wrote:

> ssh == scp. Или на худой конец закинуть в терминал hexdump, а на хосте его
> сконвертировать со стандартного ввода назад и записать в файл. Или
> netcat'ом. Или ещё 1000 способов.

Какой терминал или scp? Ситуация - web сервер с дырявым PHP скриптом,
который позволяет выполнять системные команды. Но одно большое НО - у
пользователя nobody нет доступа к содержимому /bin, /usr/bin, /sbin и
так далее. Как в такой ситуации злоумышленник сможет создать файл в
хост системе? Я не знаю пока.

> Тут нужно блокировать API, который эту информацию предоставляет. Кто-то,
> мне помнится, хвастался, что крутил какую-то систему и запретил руту
> создавать файлы, а пользователю разрешил поднимать сетевые интерфйесы. Не
> RSBAC ли...

А вот это right way :

-- 
With best regards, Anton V. Denisov.
In silent deep without hope.
'-- MARK --' is my favourite log-entry.

[devel] Re: Q: hiding security sensitive info

[Anton V. Boyarshinov]

On Fri, 5 Dec 2003 12:08:56 +1200 Anton V. Denisov
 wrote:

> On Thu, Dec 04, 2003 at 10:12:48AM +0300, Anton V. Boyarshinov
> wrote:
> 
> > Даже с разделов, смонтированных noexec запуск программ
> > возможен. При помощи /lib/ld-linux.so.2, если не ошибаюсь.
> 
> Это ошибка или особенность? Особенность чего? Что почитать про
> это?

Считается особенностью. Подробности знаю плохо -- прчитал где-то
и запомнил (проверял).

Антон
-- 
mailto:boyarsh@mail.ru
mailto:boyarsh@ru.echo.fr
 11:32:00  up 13 days, 49 min,  8 users,  load average: 0.74,
0.53, 0.35

Re: [devel] Re: Q: hiding security sensitive info

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 427 bytes --]

On Fri, Dec 05, 2003 at 12:08:56PM +1200, Anton V. Denisov wrote:
> On Thu, Dec 04, 2003 at 10:12:48AM +0300, Anton V. Boyarshinov wrote:
> 
> > Даже с разделов, смонтированных noexec запуск программ возможен.
> > При помощи /lib/ld-linux.so.2, если не ошибаюсь.
> 
> Это ошибка или особенность? Особенность чего? Что почитать про это?

Это не ошибка и не особенность.
Это просто одно из свойств, которые надо знать.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Q: hiding security sensitive info

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 718 bytes --]

On Fri, Dec 05, 2003 at 01:16:20PM +0300, Dmitry V. Levin wrote:
> On Fri, Dec 05, 2003 at 12:08:56PM +1200, Anton V. Denisov wrote:
> > On Thu, Dec 04, 2003 at 10:12:48AM +0300, Anton V. Boyarshinov wrote:
> > 
> > > Даже с разделов, смонтированных noexec запуск программ возможен.
> > > При помощи /lib/ld-linux.so.2, если не ошибаюсь.
> > 
> > Это ошибка или особенность? Особенность чего? Что почитать про это?
> 
> Это не ошибка и не особенность.
> Это просто одно из свойств, которые надо знать.

Похоже, появился способ с этим бороться - патч к ядру, который
добавляет в mmap() проверку MNT_NOEXEC при запрошенном PROT_EXEC.  Это
изменение уже вошло в 2.6, и сейчас предлагается вариант для 2.4.

Это нам надо?

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Q: hiding security sensitive info

[Anton Farygin]

Sergey Vlasov wrote:
> On Fri, Dec 05, 2003 at 01:16:20PM +0300, Dmitry V. Levin wrote:
> 
>>On Fri, Dec 05, 2003 at 12:08:56PM +1200, Anton V. Denisov wrote:
>>
>>>On Thu, Dec 04, 2003 at 10:12:48AM +0300, Anton V. Boyarshinov wrote:
>>>
>>>
>>>>Даже с разделов, смонтированных noexec запуск программ возможен.
>>>>При помощи /lib/ld-linux.so.2, если не ошибаюсь.
>>>
>>>Это ошибка или особенность? Особенность чего? Что почитать про это?
>>
>>Это не ошибка и не особенность.
>>Это просто одно из свойств, которые надо знать.
> 
> 
> Похоже, появился способ с этим бороться - патч к ядру, который
> добавляет в mmap() проверку MNT_NOEXEC при запрошенном PROT_EXEC.  Это
> изменение уже вошло в 2.6, и сейчас предлагается вариант для 2.4.
> 
> Это нам надо?

Надо.

Но если вошло в 2.6 - то для 2.4 на мой взгляд - не надо.

Rgds,
Rider

[devel] Re: Q: hiding security sensitive info

[Michael Shigorin]

On Sun, Dec 14, 2003 at 05:58:20PM +0300, Anton Farygin wrote:
> >Похоже, появился способ с этим бороться - патч к ядру, который
> >добавляет в mmap() проверку MNT_NOEXEC при запрошенном PROT_EXEC.  Это
> >изменение уже вошло в 2.6, и сейчас предлагается вариант для 2.4.
> >Это нам надо?
> Надо.

Видимо, да.

> Но если вошло в 2.6 - то для 2.4 на мой взгляд - не надо.

Обоснуй.

Субъективно -- 2.6 раньше следующей осени (примерно) в продакшн
может быть неосмысленно.  И даже тогда пользователей 2.4 будет
много, при этом те, кто озабочен безопасностью, мигрировать с 2.2
будут именно на 2.4, а не 2.6.

Хороший майнтейнер / релиз-менеджер -- это скорее администратор,
чем программист: следит за стабильностью (причем не только на
localhost), а не гонится за фичами или ломает все нафиг потому,
что так захотелось.

-- 
Миша, вспоминая формулировку "хороший админ должен быть в меру
тормознутым и не тянуть в рот все, что блестит"

Re: [devel] Re: Q: hiding security sensitive info

[Anton Farygin]

Michael Shigorin wrote:
 > On Sun, Dec 14, 2003 at 05:58:20PM +0300, Anton Farygin wrote:
 >
 >>>Похоже, появился способ с этим бороться - патч к ядру, который
 >>>добавляет в mmap() проверку MNT_NOEXEC при запрошенном PROT_EXEC.  Это
 >>>изменение уже вошло в 2.6, и сейчас предлагается вариант для 2.4.
 >>>Это нам надо?
 >>
 >>Надо.
 >
 >
 > Видимо, да.
 >
 >
 >>Но если вошло в 2.6 - то для 2.4 на мой взгляд - не надо.
 >
 >
 > Обоснуй.
 >
 > Субъективно -- 2.6 раньше следующей осени (примерно) в продакшн
 > может быть неосмысленно.  И даже тогда пользователей 2.4 будет
 > много, при этом те, кто озабочен безопасностью, мигрировать с 2.2
 > будут именно на 2.4, а не 2.6.
 >
 > Хороший майнтейнер / релиз-менеджер -- это скорее администратор,
 > чем программист: следит за стабильностью (причем не только на
 > localhost), а не гонится за фичами или ломает все нафиг потому,
 > что так захотелось.
 >

Весны. Следующий дистрибутив должен быть на 2.6. Там есть ряд 
технологических улучшений, которые нам во многих местах облегчают работу.


> 
> Хороший майнтейнер / релиз-менеджер -- это скорее администратор,
> чем программист: следит за стабильностью (причем не только на
> localhost), а не гонится за фичами или ломает все нафиг потому,
> что так захотелось.

Субъективно - текущее 2.4 может оказаться менее стабильным/защищенным 
чем 2.6-test*.

Rgds,
RIder

[devel] Re: Q: hiding security sensitive info

[Michael Shigorin]

On Mon, Dec 15, 2003 at 12:28:24PM +0300, Anton Farygin wrote:
> > Субъективно -- 2.6 раньше следующей осени (примерно) в продакшн
> > может быть неосмысленно.
> Весны. Следующий дистрибутив должен быть на 2.6.

Линусу и akpm доложили, что на них возлагается ответственность за
работу ранних патчлевелов 2.6, поелику Великий и Ужасный Альт
Линукс (sic) будет выходить на 2.6?

> Там есть ряд технологических улучшений, которые нам во многих
> местах облегчают работу.

Это понятно.  Но есть вещи, которые проще воспринимать как
данность -- слишком большой (и горький) за ними опыт.

Когда выходили 2.2/2.4, были оченки вида "где-то до .5/.7/.10 --
только посматривать" (это для своего продакшна).  С 2.4 все
оказалось еще интересней (VM change), но в общем и в целом оченка
где-то такая.

> Субъективно - текущее 2.4 может оказаться менее
> стабильным/защищенным чем 2.6-test*.

Может.  А может и не.  К тому же навязывать свой субъективизм --
это One Microsoft Way называется.

Бишь я только рад, если получится сделать хороший инсталер (и
дистрибутив) на 2.6, меня достали i/o starving writeouts на 2.4
-- но имей в виду, что ты и твое мнение на этом свете не одни
живут.  И бросать 2.4 ровно потому, что тебе неудобно делать на
нем настраивалку -- не совсем разумно, если мягко выражаться.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] Re: Q: hiding security sensitive info

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 885 bytes --]

On Sat, Dec 13, 2003 at 10:19:22PM +0300, Sergey Vlasov wrote:
> On Fri, Dec 05, 2003 at 01:16:20PM +0300, Dmitry V. Levin wrote:
> > On Fri, Dec 05, 2003 at 12:08:56PM +1200, Anton V. Denisov wrote:
> > > On Thu, Dec 04, 2003 at 10:12:48AM +0300, Anton V. Boyarshinov wrote:
> > > 
> > > > Даже с разделов, смонтированных noexec запуск программ возможен.
> > > > При помощи /lib/ld-linux.so.2, если не ошибаюсь.
> > > 
> > > Это ошибка или особенность? Особенность чего? Что почитать про это?
> > 
> > Это не ошибка и не особенность.
> > Это просто одно из свойств, которые надо знать.
> 
> Похоже, появился способ с этим бороться - патч к ядру, который
> добавляет в mmap() проверку MNT_NOEXEC при запрошенном PROT_EXEC.  Это
> изменение уже вошло в 2.6, и сейчас предлагается вариант для 2.4.

Грамотная идея.

Попробую сделать backport на 2.2.

> Это нам надо?

Конечно.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Q: hiding security sensitive info

[Vadim Gorodisky]

On Mon, 15 Dec 2003 12:28:24 +0300
Anton Farygin <rider@altlinux.com> wrote:

> Весны. Следующий дистрибутив должен быть на 2.6. Там есть ряд 
> технологических улучшений, которые нам во многих местах облегчают работу.

Так что, glibc-2.3.x тоже весной будет ? 


=========================================
Vadim Gorodisky  (VG22-RIPE)
mailto:vg@odessa.net jid:gor@jabber.od.ua
http://nexus.odessa.ua/authors/vadim
___LL===inux_____________________________

= This game will never be the same =

Re: [devel] Re: Q: hiding security sensitive info

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1201 bytes --]

On Mon, Dec 15, 2003 at 04:25:50PM +0300, Dmitry V. Levin wrote:
> On Sat, Dec 13, 2003 at 10:19:22PM +0300, Sergey Vlasov wrote:
> > On Fri, Dec 05, 2003 at 01:16:20PM +0300, Dmitry V. Levin wrote:
> > > On Fri, Dec 05, 2003 at 12:08:56PM +1200, Anton V. Denisov wrote:
> > > > On Thu, Dec 04, 2003 at 10:12:48AM +0300, Anton V. Boyarshinov wrote:
> > > > 
> > > > > Даже с разделов, смонтированных noexec запуск программ возможен.
> > > > > При помощи /lib/ld-linux.so.2, если не ошибаюсь.
> > > > 
> > > > Это ошибка или особенность? Особенность чего? Что почитать про это?
> > > 
> > > Это не ошибка и не особенность.
> > > Это просто одно из свойств, которые надо знать.
> > 
> > Похоже, появился способ с этим бороться - патч к ядру, который
> > добавляет в mmap() проверку MNT_NOEXEC при запрошенном PROT_EXEC.  Это
> > изменение уже вошло в 2.6, и сейчас предлагается вариант для 2.4.
> 
> Грамотная идея.
> 
> Попробую сделать backport на 2.2.

Кстати говоря,
Summary of changes from v2.4.24-pre2 to v2.4.24-pre3
содержит вот что:
<nuno:itsari.org>:
  o Ulrich Drepper: fix 'noexec' behaviour

Это и есть тот самый патч.

2avd: Так что ставьте 2.4.24, оно там будет "из tarball'а".


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Q: hiding security sensitive info

[Anton V. Denisov]

On Mon, Dec 15, 2003 at 04:25:50PM +0300, Dmitry V. Levin wrote:

>Это и есть тот самый патч.

>2avd: Так что ставьте 2.4.24, оно там будет "из tarball'а".

Ну я пока ничего не ставлю, но свой первый gateway/firewall сервер
в любом случае буду ставить на 2.2.x. Ну хоть убейте, но не считаю я
ветку 2.4 стабильной в моём понимании стабильности и безопасности.
Последние события и количнство security обновлений для 2.4 это
подтвердили.

P.S. Дмитрий, как мантейнера kernel22, Вас не заинтересовала поддержка
EXT3 FS для 2.2.25? И ещё - после внедрения в Сизиф нового gcc, Вы говорили,
что
займётесь APT'ом. Послание от QA Team Robot напоминает об этом :-)

P.P.S. Всех с наступившим Новым Годом! Пусть он для нас будет удачным.
Для меня это решающий год - 5 курс, потом армия, поэтому надолго пропаду
из команды.

С уважением, Антон В. Денисов.

Re: [devel] Re: Q: hiding security sensitive info

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1243 bytes --]

On Sat, Jan 03, 2004 at 12:52:43PM +1200, Anton V. Denisov wrote:
> On Mon, Dec 15, 2003 at 04:25:50PM +0300, Dmitry V. Levin wrote:
> 
> >Это и есть тот самый патч.
> 
> >2avd: Так что ставьте 2.4.24, оно там будет "из tarball'а".
> 
> Ну я пока ничего не ставлю, но свой первый gateway/firewall сервер
> в любом случае буду ставить на 2.2.x. Ну хоть убейте, но не считаю я
> ветку 2.4 стабильной в моём понимании стабильности и безопасности.

И вы не одиноки в этом понимании.

> Последние события и количество security обновлений для 2.4 это
> подтвердили.

Если бы этим всё и ограничивалось...

> P.S. Дмитрий, как мантейнера kernel22, Вас не заинтересовала поддержка
> EXT3 FS для 2.2.25?

Я предпочитаю бесперебойное питание.

> И ещё - после внедрения в Сизиф нового gcc, Вы говорили,
> что
> займётесь APT'ом. Послание от QA Team Robot напоминает об этом :-)

Да, напоминает. :(

> P.P.S. Всех с наступившим Новым Годом! Пусть он для нас будет удачным.

Вот-вот.

> Для меня это решающий год - 5 курс, потом армия, поэтому надолго пропаду
> из команды.

Не ходите, дети, в армию гулять.
В армии акулы, в армии гориллы, в армии большие
злые крокодилы будут вас кусать, бить и обижать.
	(К. Чуковский в современной обработке.)


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Q: hiding security sensitive info

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 995 bytes --]

On Mon, Dec 15, 2003 at 04:25:50PM +0300, Dmitry V. Levin wrote:
> On Sat, Dec 13, 2003 at 10:19:22PM +0300, Sergey Vlasov wrote:
> > On Fri, Dec 05, 2003 at 01:16:20PM +0300, Dmitry V. Levin wrote:
> > > On Fri, Dec 05, 2003 at 12:08:56PM +1200, Anton V. Denisov wrote:
> > > > On Thu, Dec 04, 2003 at 10:12:48AM +0300, Anton V. Boyarshinov wrote:
> > > > 
> > > > > Даже с разделов, смонтированных noexec запуск программ возможен.
> > > > > При помощи /lib/ld-linux.so.2, если не ошибаюсь.
> > > > 
> > > > Это ошибка или особенность? Особенность чего? Что почитать про это?
> > > 
> > > Это не ошибка и не особенность.
> > > Это просто одно из свойств, которые надо знать.
> > 
> > Похоже, появился способ с этим бороться - патч к ядру, который
> > добавляет в mmap() проверку MNT_NOEXEC при запрошенном PROT_EXEC.  Это
> > изменение уже вошло в 2.6, и сейчас предлагается вариант для 2.4.
> 
> Грамотная идея.
> 
> Попробую сделать backport на 2.2.

Сделал в kernel22-2.2.25-alt2.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Q: hiding security sensitive info

[Anton V. Denisov]

On Tue, Feb 24, 2004 at 03:13:55AM +0300, Dmitry V. Levin wrote:

> > > Похоже, появился способ с этим бороться - патч к ядру, который
> > > добавляет в mmap() проверку MNT_NOEXEC при запрошенном PROT_EXEC.  Это
> > > изменение уже вошло в 2.6, и сейчас предлагается вариант для 2.4.
> > 
> > Грамотная идея.
> > 
> > Попробую сделать backport на 2.2.
> 
> Сделал в kernel22-2.2.25-alt2.

Так может в 2.2.26 этот патч продвинуть? Вроде как backport из 2.4 получается. 

-- 
With best regards, Anton V. Denisov.
In silent deep without hope.
'-- MARK --' is my favourite log-entry.

Re: [devel] Re: Q: hiding security sensitive info

[Anton V. Denisov]

On Tue, Feb 24, 2004 at 03:13:55AM +0300, Dmitry V. Levin wrote:

> > > Похоже, появился способ с этим бороться - патч к ядру, который
> > > добавляет в mmap() проверку MNT_NOEXEC при запрошенном PROT_EXEC.  Это
> > > изменение уже вошло в 2.6, и сейчас предлагается вариант для 2.4.
> > 
> > Грамотная идея.
> > 
> > Попробую сделать backport на 2.2.
> 
> Сделал в kernel22-2.2.25-alt2.

Ну так может его в 2.2.26 продвинуть? Вроде как backports из 2.4 получается.

-- 
With best regards, Anton V. Denisov.
In silent deep without hope.
'-- MARK --' is my favourite log-entry.