В Вто, 09/12/2008 в 01:33 +0300, Stanislav Kruchinin пишет: > Eugene V. Lyubimkin wrote: > > Stanislav Kruchinin wrote: > >> > >> Все это звучит весьма провокационно. Объясните пожалуйста поподробнее, > >> как ненулевой таймаут способствует получению прав рута из сессии > >> пользователя с ограниченными правами? Какие настройки должны быть при > >> этом у пользователя в /etc/sudoers? sudo при первом запуске запрашивает > >> только пароль юзера, в этом его суть: передать часть прав без передачи > >> рутовского пароля. > > В трёх словах - любая гадость, запущенная из-под юзера, способна следить за > > запускаемыми > > командами. Как только юзер удачно применил sudo, сия гадость может > > беспрепятственно > > сделать "sudo <плохая команда>", так как пароль не будет запрошен. За > > конкретной > > реализацией прошу к Дмитрию и BTS на sudo. > > > > Это скорее не баг, а фича. Если у юзера в /etc/sudoers прописано > user ALL=(ALL) ALL > и он может после аутентификации запустить любую программу через sudo, значит > он > уже почти root. Ответственность за запуск того или иного вредоносного скрипта > лежит только на нем. Я согласен, что ради большей безопасности этот таймаут > лучше сделать нулевым, но тем не менее непонятно, где тут "дыра" в sudo? > Можно > подумать, что просто запуская все подряд из root shell нельзя наломать дров.
Что уж тогда говорить про Гномовский Брелок... -- Покотиленко Костик <[EMAIL PROTECTED]> -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
