Gigantisk hull i Shaman (arch/chakra)?

[NgZ]

Red: Bug-en er i høyeste grad reell. Kommenter og stem på bugtrackeren.

 

Kan noen ta en kjapp kikk på denne bugreporten, og stemme i vei dersom det er reelt? 99% sikker på at jeg ikke har fucket det opp, og at det er en bug. Den har vært der en stund nå.

 

copypasta:

 

As far as I understand, it is supposed to work like this: When you first use shaman too install anything, it asks for the root password You can tick a "Do not ask me again"-box, so you don't have to enter the password again. If you tick the box and enter the password, shaman add the lines

[auth]

askforpwd=false

to the users shaman.conf-file (~./config/shaman/shaman.conf) The next time shaman is run, it checks the config file, and if the askforpwd value is set to false, it grants itself root privileges (with some nifty setuuid root-thingy, I imagine)

 

This works fine, except for the fact that any user can add the lines

[auth]

askforpwd=false

to his own shaman.conf file, without ever entering the root password in shaman. The next time shaman is run, it checks the config file, and if the askforpwd value is set to false, it grants itself root privileges - even though the user has never entered (or even known) the root password.

Endret 3. mai 2009 av NgZ

[TheMaister]

Hmm. Interessant: Tror "hullet" ligger i PKGBUILDen til Shaman:

 

chmod u+s $pkgdir/usr/bin/shaman

 

Shaman blir alltid kjørt som root virker det som, og at den spørrer etter root-passord må jo i såfall være useless egentlig :S

 

Om man tar chmod u-s /usr/bin/shaman tror jeg ikke det funker mer.

 

EDIT: Hmm, shaman må visst ha setuid

"Shaman could not switch to root.

Probably you have not set the SUID bit to it.

You can do that by issuing as root

chown root shaman && chmod u+s shaman.

Note that this is safe, please read Shaman wiki

for more details."

 

Hmm :S Er nok en kritisk bug ser det ut som ja.

Endret 2. mai 2009 av TheMaister

[NgZ]

Det "skal visst være sånn" ref. drf i denne tråden Men stem på bugen, så kanskje de skjønner at de ikke går an å ha en så stor bug som "feature".

[Varj]

velg din distro med omhu, uten at intensjonen er distro-trolling.

 

uforsiktig omgang med setuid er utilgivelig.

[NgZ]

Enig i siste linjen din der, ja. Mener de skriver noe selv om shaman at de har vært "veldig grundige e.l. ifht. sikkerhet når de har valgt å bruke setuid root. Right...

 

Ellers skulle jeg til å skrive at shaman ikke er i arch-repoet, men der tar jeg visst helt feil, ser det er i community nå. Da blir det en bugreport der og.