[devel] execstack

[devel] execstack

[Andrey Savchenko]

[-- Attachment #1.1: Type: text/plain, Size: 1500 bytes --]

Добрый вечер!

Я выполнил анализ sisyphus x86_64 на предмет наличия исполняемых
файлов и библиотек с исполняемым стеком. Их оказалось не так уж
мало, см. приложенный файл в формате repo pkg file.

Анализ делался скриптом check.sh из
http://git.altlinux.org/people/bircoph/public/execstack.git
Так что легко проверить и другие архитектуры и репозитории.

Главный вопрос: какая у нас вообще политика в отношении таких
пакетов? Мы считаем это допустимым или всё же стараемся устранить?
На мой взгляд нужно предметно разобрать указанные пакеты
и избавиться от исполняемого стека везде, где возможно.

Особое недоумение у меня вызывает haskell: там у нас во всех
ключевых пакетах исполняемый стек (или вообще во всех, не
проверял). Притом я сверил с системой на Gentoo и execstack 
в аналогичных файлах нет.

По-моему, с этим безобразием нужно что-то делать.

Best regards,
Andrew Savchenko

[-- Attachment #1.2: sisyphus.report --]
[-- Type: application/octet-stream, Size: 8671 bytes --]

[-- Attachment #2: Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] execstack

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1224 bytes --]

On Mon, Oct 07, 2019 at 09:12:15PM +0300, Andrey Savchenko wrote:
> Добрый вечер!
> 
> Я выполнил анализ sisyphus x86_64 на предмет наличия исполняемых
> файлов и библиотек с исполняемым стеком. Их оказалось не так уж
> мало, см. приложенный файл в формате repo pkg file.
> 
> Анализ делался скриптом check.sh из
> http://git.altlinux.org/people/bircoph/public/execstack.git
> Так что легко проверить и другие архитектуры и репозитории.

У нас есть специальная проверка во время сборки на эту тему,
в логе сборки это выглядит так:
verify-elf: WARNING: ./sbin/nologin: found executable STACK entry:   GNU_STACK      0x000000 0x0000000000000000 0x0000000000000000 0x000000 0x000000 RWE 0x10

> Главный вопрос: какая у нас вообще политика в отношении таких
> пакетов? Мы считаем это допустимым или всё же стараемся устранить?
> На мой взгляд нужно предметно разобрать указанные пакеты
> и избавиться от исполняемого стека везде, где возможно.

Я согласен, executable STACK следует считать исключением,
каждый случай которого подлежит разбору.

Для начала можно снизить уровень проверки verify_elf, на котором
executable stack считается ошибкой, с нынешнего stack=strict до
stack=normal.


-- 
ldv

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 801 bytes --]

Re: [devel] execstack

[Ivan Zakharyaschev]

[-- Attachment #1: Type: text/plain, Size: 671 bytes --]

Hello!

On Mon, 7 Oct 2019, Andrey Savchenko wrote:

> Особое недоумение у меня вызывает haskell: там у нас во всех
> ключевых пакетах исполняемый стек (или вообще во всех, не
> проверял). Притом я сверил с системой на Gentoo и execstack 
> в аналогичных файлах нет.

Это была известная бага, по крайней мере ghc7.6. Есть в багтрекере ghc, 
разработчики, насколкьо я помню, в новых версиях это исправили.

-- 
Best regards,
Ivan