ALT Linux Sisyphus discussions
 help / color / mirror / Atom feed
From: "Dmitry V. Levin" <ldv@altlinux.org>
To: ALT Linux Sisyphus discussion list <sisyphus@lists.altlinux.org>
Cc: kirill@altlinux.org
Subject: Re: [sisyphus] /var noexec => chrooted troubles
Date: Wed, 9 Aug 2006 21:00:10 +0400
Message-ID: <20060809170010.GA886@basalt.office.altlinux.org> (raw)
In-Reply-To: <20060809143942.GB15154@procyon.home>

[-- Attachment #1: Type: text/plain, Size: 1208 bytes --]

On Wed, Aug 09, 2006 at 06:39:42PM +0400, Sergey Vlasov wrote:
> On Wed, Aug 09, 2006 at 04:56:38PM +0400, Dmitry V. Levin wrote:
> > On Wed, Aug 09, 2006 at 09:15:40AM +0300, Michael Shigorin wrote:
> > > On Wed, Aug 09, 2006 at 03:33:17AM +0400, Aleksey Avdeev wrote:
> > > > > Проверьте ещё, резолвит ли ping, запущенный рутом, а также
> > > > > параметры монтирования.
> > > > Спасибо: дело в noexec на /var было.
> > > 
> > > Наверное, это достаточно важная фича для документирования...
> > > 
> > > 2 ldv: может, в update_chrooted вделать простой тест --
> > > положить в пакет заведомо исполнябельный файлик и звать 
> > > его перед тем, как что-либо делать (не вышло -- внятно
> > > излагать проблему)?
> > 
> > Прикол в том, что внутри /var/resolv не должно быть исполняемых файлов.
> 
> noexec уже довольно давно блокирует не только собственно execve, но и
> mmap с флагом PROT_EXEC - даже в 2.4.x (>= 2.4.22-alt13, в upstream с
> 2.4.25).  Это было сделано, в частности, для блокирования обхода
> noexec через явный вызов /lib/ld-linux.so.2.

Я когда-то backport'ил это изменение на 2.2.25-alt2.

В любом случае, исполняемые файлы внутри /var/resolv вредны.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

  reply	other threads:[~2006-08-09 17:00 UTC|newest]

Thread overview: 61+ messages / expand[flat|nested]  mbox.gz  Atom feed  top
2006-08-08 19:40 [sisyphus] Q: Sisyphus/x86_64: что-то не то с dns ресолвингом Aleksey Avdeev
2006-08-08 19:43 ` Michael Shigorin
2006-08-08 21:49   ` Aleksey Avdeev
2006-08-08 22:51     ` Dmitry V. Levin
2006-08-08 23:15       ` Aleksey Avdeev
2006-08-08 23:22         ` Dmitry V. Levin
2006-08-08 23:33           ` Aleksey Avdeev
2006-08-09  6:15             ` [sisyphus] /var noexec => chrooted troubles (was: Q: Sisyphus/x86_64: что-то не то с dns ресолвингом...) Michael Shigorin
2006-08-09 12:56               ` [sisyphus] /var noexec => chrooted troubles Dmitry V. Levin
2006-08-09 14:39                 ` Sergey Vlasov
2006-08-09 17:00                   ` Dmitry V. Levin [this message]
2006-08-09 17:47                     ` Sergey Vlasov
2006-08-10  7:44                 ` Michael Shigorin
2006-08-09  6:31             ` [sisyphus] [wiki] AltLinux/Features -- call for pages Michael Shigorin
2006-08-09 17:52               ` [sisyphus] [wiki] ALTLinux/Features " Хихин Руслан
2006-08-09 18:49                 ` Olvin
2006-08-10  4:12                   ` Хихин Руслан
2006-08-10  7:51                   ` Afanasov Dmitry
2006-08-10  8:17                     ` [sisyphus] [wiki] ALTLinux/Features -- call for pages [JT] Slava Semushin
2006-08-10  8:20                     ` [sisyphus] [wiki] ALTLinux/Features -- call for pages Genix
2006-08-10  8:39                       ` Afanasov Dmitry
2006-08-10 11:28                         ` Genix
2006-08-10 13:06                           ` Afanasov Dmitry
2006-08-10 13:17                             ` Anton Gorlov
2006-08-17  6:23                             ` Genix
2006-08-17  6:46                               ` Afanasov Dmitry
2006-08-19 17:31                                 ` Genix
2006-08-21  9:31                                   ` [sisyphus] [JT] " Afanasov Dmitry
2006-08-21 11:44                                 ` [sisyphus] " Genix
2006-08-22  6:03                                   ` Afanasov Dmitry
2006-08-10 18:31                     ` Olvin
2006-08-10  9:49                   ` Igor Zubkov
2006-08-10  9:58                     ` Шенцев Алексей Владимирович
2006-08-10 10:29                       ` Igor Zubkov
2006-08-10 10:42                         ` Dmitriy L. Kruglikov
2006-08-10 11:00                           ` [sisyphus] [JT]Re: " Igor Zubkov
2006-08-10 11:05                         ` [sisyphus] " Шенцев Алексей Владимирович
2006-08-10 11:20                           ` Igor Zubkov
2006-08-10 11:26                             ` Шенцев Алексей Владимирович
2006-08-10 11:34                               ` Dmitriy L. Kruglikov
2006-08-10 11:54                                 ` Andrei Bulava
2006-08-10 11:55                                 ` Igor Zubkov
2006-08-10 12:02                                   ` Dmitriy L. Kruglikov
2006-08-10 11:48                               ` Andrei Bulava
2006-08-10 12:27                               ` Victor Forsyuk
2006-08-10 11:59                         ` Andrii Dobrovol`s`kii
2006-08-10 18:33                     ` Olvin
2006-08-10 12:08                   ` Michael Shigorin
2006-08-10 19:01                     ` Olvin
2006-08-10  4:41                 ` [sisyphus] " Alexey Tourbin
2006-08-10 11:55                   ` Michael Shigorin
2006-08-10 12:02                     ` Andrii Dobrovol`s`kii
2006-08-10 16:17                       ` [sisyphus] [JT] " Michael Shigorin
2006-08-10 23:00                     ` [sisyphus] " Alexey Tourbin
2006-08-10  8:03                 ` [sisyphus] [wiki] " Michael Shigorin
2006-08-10 12:35                   ` Victor Forsyuk
2006-08-10 12:39                     ` Шенцев Алексей Владимирович
2006-08-10 13:42                       ` Victor Forsyuk
2006-08-10 13:48                         ` Шенцев Алексей Владимирович
2006-08-10 19:12                         ` Olvin
2006-08-10  8:03                 ` Michael Shigorin

Reply instructions:

You may reply publicly to this message via plain-text email
using any one of the following methods:

* Save the following mbox file, import it into your mail client,
  and reply-to-all from there: mbox

  Avoid top-posting and favor interleaved quoting:
  https://en.wikipedia.org/wiki/Posting_style#Interleaved_style

* Reply using the --to, --cc, and --in-reply-to
  switches of git-send-email(1):

  git send-email \
    --in-reply-to=20060809170010.GA886@basalt.office.altlinux.org \
    --to=ldv@altlinux.org \
    --cc=kirill@altlinux.org \
    --cc=sisyphus@lists.altlinux.org \
    /path/to/YOUR_REPLY

  https://kernel.org/pub/software/scm/git/docs/git-send-email.html

* If your mail client supports setting the In-Reply-To header
  via mailto: links, try the mailto: link

ALT Linux Sisyphus discussions

This inbox may be cloned and mirrored by anyone:

	git clone --mirror http://lore.altlinux.org/sisyphus/0 sisyphus/git/0.git

	# If you have public-inbox 1.1+ installed, you may
	# initialize and index your mirror using the following commands:
	public-inbox-init -V2 sisyphus sisyphus/ http://lore.altlinux.org/sisyphus \
		sisyphus@altlinux.ru sisyphus@altlinux.org sisyphus@lists.altlinux.org sisyphus@lists.altlinux.ru sisyphus@lists.altlinux.com sisyphus@linuxteam.iplabs.ru sisyphus@list.linux-os.ru
	public-inbox-index sisyphus

Example config snippet for mirrors.
Newsgroup available over NNTP:
	nntp://lore.altlinux.org/org.altlinux.lists.sisyphus


AGPL code for this site: git clone https://public-inbox.org/public-inbox.git