Re: [Debian]: Warum Sicherheitsloch in /etc/cron.daily/standard ?
On 25 Aug 1998, Andy Spiegl wrote:
> In /etc/cron.daily/standard steht:
> # The following three find commands are commented out do to the
> # severe, easily exploited security hole introduced by 'find . _stuff_
> # | xargs rm' style commands. Changing it to '-exec rm {}' doesn't
> # help.
>
> # if [ -d /tmp -a ! -L /tmp ] && cd /tmp
> # then
> # find . -type f -atime +3 -print0 | xargs -r0 rm -f --
> # find . ! -name . -type d -mtime +1 -print0 | xargs -r0 rmdir -- >/dev/null 2>&1
> # fi
> ...
>
> Kann mir einer bitte erklaeren, wo genau da das Problem ist?
soviel ich weiss, handelt es sich um ein problem von 'find' im zusammen-
hang mit 'symbolischen links'.
wenn in /tmp jeder benutzer schreibrechte hat, was in der regel so ist,
koennen dort von jedem beliebigen benutzer sybolische links auf beliebige
dateien im system platziert werden. laeuft nun einer der oben genannten
jobs (mit den rechten von cron!!!) so kann es passieren, dass die dateien
auf die die links zeigen mitgeloescht werden.
> Ein Freund von mir hat ein C-Programm geschrieben, das jetzt diesen
> Job uebernimmt, aber evtl. ist das Problem ja viel grundlegender und
> auf die Art gar nicht loesbar. Bitte klaert mich auf.
kommt darauf an, wie er es macht ;-)
> Danke,
> Andy.
gruss,
jan
--
jan.otto@jfl.de
------------------------------------------------
Um sich aus der Liste auszutragen schicken Sie
bitte eine E-Mail an majordomo@jfl.de die im Body
"unsubscribe debian-user-de <your_email_address>"
enthaelt.
Bei Problemen bitte eine Mail an: Jan.Otto@jfl.de
------------------------------------------------
Anzahl der eingetragenen Mitglieder: 567
Reply to: