1 votes

Implications de sécurité des fichiers Sudoers requiretty flag

J'essaie donc d'exécuter des commandes sudo via cgi-bin perl scripts. Je veux donner l'accès sudo à l'utilisateur apache pour un petit sous-ensemble de commandes. Quelqu'un avant moi a peut-être défini le drapeau requiretty. Des choses comme cron et cgi-bin scripts n'obtiennent pas de session tty, donc actuellement si j'essaie de sudo dans mon scripts, il me signale le drapeau. De plus, l'utilisateur apache fera un sudo sans mot de passe.

Ma question à vous tous est la suivante : quelles sont les implications en matière de sécurité si je devais désactiver ce drapeau et continuer à écrire mon script ?

2voto

Dalroth Points 2468

Si votre script était sujet à une quelconque injection, toutes les commandes entrées par un utilisateur malveillant seraient exécutées en tant que root. Je ne pense pas que cela puisse être plus dangereux que cela :)

J'ai rencontré le même problème il y a quelques temps. J'ai fini par avoir des travaux d'utilisateurs soumis dans un "dossier de file d'attente", qui a été traité par un script que j'ai exécuté à travers un crontab toutes les quelques minutes. Les fichiers dans la file d'attente étaient analysés par mes script avec des expressions régulières et tous les fichiers qui contenaient des caractères invalides (ex. .*<-_>![]{}()\|/; ) ont été rejetés et l'utilisateur a été informé qu'il devait soumettre à nouveau sa demande.

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X