sudo и SUDO_USER

$ sudo SUDO_USER=abacaba sh
Password:
$ echo $SUDO_USER
abacaba

Так, что ли?

Я получаю

sudo: sorry, you are not allowed to set the following environment variables: SUDO_USER

какая у тебя версия sudo и что в конфиге sudo?

В конфиге околодефолт:

root ALL=(ALL) ALL
 %wheel ALL=(ALL) ALL

Версия:

$ eix -e sudo -c
[U] app-admin/sudo (1.8.6_p7@01/09/2014 -> 1.8.11_p1): Allows users or groups to run commands as other users

А вот что-то такое есть?

Defaults	env_reset
Defaults	mail_badpass
Defaults	secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

?

Нет.

А если добавить?

Никакого эффекта.

у меня 1.8.9p5

#
# This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#
# See the man page for details on how to write a sudoers file.
#
Defaults	env_reset
Defaults	mail_badpass
Defaults	secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

# Host alias specification

# User alias specification

# Cmnd alias specification

# User privilege specification
root	ALL=(ALL:ALL) ALL

vlad 	ALL=NOPASSWD: /usr/local/bin/suspend2ram.sh, /usr/local/bin/mountsmb

# Allow members of group sudo to execute any command
%sudo	ALL=(ALL:ALL) ALL

Я получаю

Где вы это получаете? sudo ничего не знает о переменных окружения дочерних процессов, поэтому с ними можно делать абсолютно что угодно.

«sudo мне пишет» - так понятнее?

Нет. Полный лог в студию.

sudo env SUDO_USER=root sh

Sorry, user vlad is not allowed to execute '/usr/bin/env SUDO_USER=root sh' as root on vlad.

Если добавить - то позволит изменить

Кстати, это лишний повод не позволять запускать что угодно через sudo

Если вызываешь интерактивный sh, то можно сделать что угодно внутри этого sh. Ограничения работают только на возможность менять переменные самим sudo.

Да. Но если ты можешь вызывать sh через sudo, то дальше ты вообще что угодно можешь, так что смысла особого делать защиту в этом случае нет.

Так вопрос-то в чём?

Если не касаться случаев, когда разрешены sudo sh, sudo env и им подобные, а разрешены только специальные программы, которые гарантированоо не станут менять переменную SUDO_USER, возможна ли подмена SUDO_USER?

Никаких гарантий никто не даст, и завязываться на это нельзя.

А как тогда точно узнать, кто запустил?

pid -> ps -> ruid, не?

Ну, или что-то подобное, мне что-то плохо думается.