Re: xend-http-server дыряв?
,-----[alexander barakin, 16 September 2011 19:54]:
> всё происходит на debian squeeze, ядро дефолтное:
> $ uname -r
> 2.6.32-5-xen-686
>
> попробовал обращаться к xend с помощью libvirt-а·
> для этого включил в /etc/xen/xend-config.sxp:
> (xend-http-server yes)
> и перезапустил xend·
>
> что получилось?
> теперь любой локальный пользователь может запустить virsh и сделать,
> вероятно, всё что virsh в состоянии выполнить·
> например, удачно провернул такие операции:
> $ virsh list
> $ virsh dumpxml <domain> > /some/file
> $ virsh shutdown <domain>
> $ virsh create /some/file
> от совершенно непривилегированного пользователя·
>
> поискал в багах, ничего подобного не нашёл·
> это я неизвестную дыру обнаружил, или наступил на всем давно известные
> (и поэтому недокументированные) грабли?
>
любой пользователь, входящий в группу libvirt.
--
__________
mpd status: [paused]
Warrior - The_Wars_Of_Gods_And_Men
**************************************
* jabber: devil_inside@jabber.ru *
* Registered linux user #450844 *
**************************************
Reply to: