The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Выпуск sudo 1.9.0

14.05.2020 12:18

Спустя 9 лет после формирования ветки 1.8.x опубликован новый значительный выпуск утилиты sudo 1.9.0, используемой для организации выполнения команд от имени других пользователей.

Ключевые изменения:

  • В состав включён фоновый процесс sudo_logsrvd, предназначенный для централизованного ведения логов с других систем. При сборке sudo c опцией "--enable-openssl" данные передаются через шифрованный канал связи (TLS). Настройка отправки логов осуществляется при помощи опции log_servers в sudoers. Для отключения поддержки нового механизма отправки логов добавлены опции "--disable-log-server" и "--disable-log-client". Для тестирования взаимодействия с сервером или отправки существующих логов предложена утилита sudo_sendlog;
  • Добавлена возможность разработки плагинов для sudo на языке Python, которая включается при сборке с опцией "--enable-python";
  • Добавлен новый тип плагинов - "audit", которым отправляются сообщения о успешных и неудачных обращениях, а также о возникающих ошибках. Новый тип плагинов позволяет подключать собственные обработчики для ведения логов, не зависящие от штатной функциональности (например, в форме плагина реализован обработчик для записи логов в формате JSON);
  • Добавлен новый тип плагинов - "approval", для выполнения дополнительных проверок после успешной базовой проверки полномочий на основе правил в sudoers. В настройках могут указываться несколько плагинов данного типа, но подтверждение на выполнение операции выдаётся только при её одобрении всеми перечисленными в настройках плагинами;
  • Команда "sudo -S" теперь выводит все запросы в стандартный вывод или stderr, без обращения к устройству управления терминалом;
  • В sudoers вместо Cmnd_Alias теперь также допустимо указание Cmd_Alias;
  • Добавлены новые настройки pam_ruser и pam_rhost для включения/выключения установки значений имени пользователя и хоста при настройке сеанса через PAM;
  • Обеспечена возможность указания более одного хэша SHA-2 в командной строке с разделением запятой. SHA-2 хэш также можно использовать в sudoers в связке с ключевым словом "ALL" для определения команд, запуск которых разрешается только при совпадении хэша;
  • В sudo и sudo_logsrvd обеспечено создание дополнительного файла с логом в формате JSON, отражающим информацию обо всех параметрах запущенных команд, включая имя хоста. Данный лог используется утилитой sudoreplay, в которой появилась возможность фильтрации команд по имени хоста;
  • Передаваемый через переменную окружения SUDO_COMMAND список аргументов командной строки теперь обрезается до 4096 символов.


  1. Главная ссылка к новости (https://www.sudo.ws/news.html...)
  2. OpenNews: Root-уязвимость в sudo, затрагивающая Linux Mint и Elementary OS
  3. OpenNews: Уязвимость в sudo, позволяющая повысить привилегии при использовании специфичных правил
  4. OpenNews: В sudo устранена уязвимость, позволяющая переписать файл на системах с SELinux
  5. OpenNews: При портировании во FreeBSD утилиты doas, аналога sudo от OpenBSD, возникла опасная уязвимость
  6. OpenNews: В sudo найдена уязвимость, потенциально позволяющая получить root-доступ
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/52950-sudo
Ключевые слова: sudo
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (122) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Zenitur (ok), 12:28, 14/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Повременю пока обновляться, подожду пару минорных релизов, а то мало ли
     
     
  • 2.33, Аноним (33), 15:39, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Не опеннет, а логи apt-cache какие то ... новости то где? Заколебали уже с этими "обновился пакет ..."
     
     
  • 3.46, BlackRot (ok), 16:24, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –4 +/
    Согласен
     
  • 3.49, пох. (?), 16:26, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > Не опеннет, а логи apt-cache какие то ... новости то где? Заколебали
    > уже с этими "обновился пакет ..."

    он в этот раз так "обновился", что лучше бы быть об этом в курсе.

     

  • 1.2, Z (??), 12:33, 14/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    >Передаваемый чрез переменную окружения SUDO_COMMAND список аргументов командной строки теперь обрезается до 4096 символов

    и как теперь жить с таким ограничением?

     
     
  • 2.11, годныйанонимус (?), 13:10, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –2 +/
    использовать alias наверное
     
  • 2.91, псевдонимус (?), 12:39, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    День за днём, мало по малу...
     

  • 1.3, Аноним (3), 12:34, 14/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    И сколько новых багов, репрессий и выпиливаний на сей раз принесли?
     
     
  • 2.4, Аноним (3), 12:35, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >1 Передаваемый чрез переменную окружения SUDO_COMMAND список аргументов командной строки теперь обрезается до 4096 символов.
     
  • 2.5, пох. (?), 12:45, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    да просто п-ц какой-то.
    Сислог отменили, миллиард каких-то "плагинов", свистелок, перделок - в софтине которая обязана быть простой как палка.

    И даже форк не сделать - поляна напрочь загажена невменько из опенбсд с их мертворожденным doass.

    P.S. и похоже таки надо готовиться к переходу инфраструктуры на работу от рута по ключам. Потому что полагаться на этот бесконечнодырявый п-ц могут только девляпсики. Те самые которые sudo su.

     
     
  • 3.6, Аноним (6), 12:54, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Так тебя никто и не обязывает тащить судо в свой вантуз. Используй там нативные иструменты.
     
     
  • 4.9, Аноним (9), 12:57, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –2 +/
    В докере судо не нужен. А значит судо не нужен везде.
     
     
  • 5.12, Аноним (12), 13:14, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Ну или докер не нужен
     
     
  • 6.15, Аноним (6), 13:26, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Спасибо, о великий анонимус! Я тут посчитал, что мы можем отказаться от докера и деплоить сервисы в традиционные, милые всем виртуалки без богомерзких, этих вот, контейнеров.
    Итак, переезжаем с нынешних 40 машин на 60000. Сейчас обрадую руководство, что нашёл прекрасный вариант сэкономить средства, и техподдержке сообщу, что всё станет намного проще. Никаких этих самых кубернетесов, авторестарта сервисов. И наконец-то появится возможность чистить переполненные диски на всего-лишь 60000 машинах.
    А вообще виртуалки - это не серьёзно. У настоящих мужиков - везде физические сервера. Ну это будет второй шаг миграции.
     
     
  • 7.20, имя (ok), 14:24, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > переезжаем с нынешних 40 машин на 60000

    Вы деплоите ELF-бинарники по 10 Гб на контейнер, что ли?

    > наконец-то появится возможность чистить переполненные диски на всего-лишь 60000 машинах

    Действительно, зачем рушить один сервис путём исчерпания свободного места, когда точно таким же образом можно обрушить сразу тысячи?

     
     
  • 8.22, Аноним (6), 14:43, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    - Это не эльфы Но и жирнее 10ГБ Свободного места предостаточно, с виртуалками ... текст свёрнут, показать
     
     
  • 9.51, имя (ok), 16:28, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +5 +/
    А порнография с операторами, ингрессами, терраформами, хелм-чартами и прочей мод... текст свёрнут, показать
     
     
  • 10.58, Аноним (58), 18:07, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –4 +/
    Следить - успеваем Внедряем то, что надо Не внедряем того, что не надо Единож... текст свёрнут, показать
     
     
  • 11.87, имя (ok), 10:53, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Ну да, мне повезло, что для меня это только страшные слова А то, бывало, заглян... текст свёрнут, показать
     
     
  • 12.102, Аноним (102), 11:46, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Потом они не смотря на все трудности пытаются в докере сервис перезапустить без ... текст свёрнут, показать
     
     
  • 13.110, Аноним (110), 13:05, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Это, видимо, старички , психологически травмированные OpenVZ и LXC и уверенные,... текст свёрнут, показать
     
  • 9.103, Аноним (102), 12:43, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Всегда старались разнести сервисы, а тут наоборот всё на один хост пихают для н... текст свёрнут, показать
     
     
  • 10.109, Аноним (110), 13:02, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Да, старая добрая традиция 8212 100 хилых железок, на каждой свой сервис, сме... текст свёрнут, показать
     
  • 7.26, пох. (?), 14:51, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    > А вообще виртуалки - это не серьёзно. У настоящих мужиков - везде физические сервера.

    в целом так и есть. В блаженной памяти 2009м у нас все так и было - да, stateless (паааачти, ну как всегда) архитектура, да, linear scaling (почти ;) , централизованное управление, но... опачки - одна нода = один физический сервер. Потому что и одного было иногда маловато.

    Авторы докера, к счастью, тогда еще школу не закончили.

    P.S. и что вам мешает "деплоить сервисы" в виде - сервисов, без ненужной обмазки "контейнерами" ?
    Они от этого ни меньше жрать (они больше жрать), ни лучше работать - не стали.

     
     
  • 8.32, Аноним (6), 15:33, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –5 +/
    Там выше - написано Стали меньше жрать, ибо меньше прослоек Стали лучше работат... текст свёрнут, показать
     
     
  • 9.35, пох. (?), 15:48, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +3 +/
    вот так - модные современные девляпсы даже не поняли Стали меньше жрать, ибо м... текст свёрнут, показать
     
     
  • 10.38, Аноним (58), 15:53, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –9 +/
    а нудануда и перейти на виртуалки Хотя только 60000 серверов, как зивещали д... текст свёрнут, показать
     
     
  • 11.47, пох. (?), 16:24, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +5 +/
    нет, все же девляпс- это диагноз Где-то рядом с кретинизмом ... текст свёрнут, показать
     
     
  • 12.59, Аноним (58), 18:09, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –4 +/
    Вот такие они - аргументы обиженного поха ... текст свёрнут, показать
     
     
  • 13.107, Аноним (110), 12:56, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Нет, его главный аргумент 8212 наличие достаточного количества времени, чтобы... текст свёрнут, показать
     
     
  • 14.121, Аноним (121), 18:47, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Нн-н-но 8230 ЗАЧЕМ, сенпай Он что, совсем бака ... текст свёрнут, показать
     
  • 12.60, фигус (?), 18:09, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +2 +/
    я как то всегда считал, что один процесс запускающий внутри еще один это увеличе... текст свёрнут, показать
     
     
  • 13.61, пох. (?), 18:38, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +5 +/
    ну, вообще-то, тоже неправильно считал В юниксе один процесс запускающий внутри... большой текст свёрнут, показать
     
     
  • 14.106, Аноним (110), 12:52, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Можно в цифрах, какое замедление это даёт относительно не-контейнерного приложен... текст свёрнут, показать
     
     
  • 15.119, пох. (?), 18:30, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    спойлер этому дятлу и в голову не пришло - померять требуются инструменты, на... большой текст свёрнут, показать
     
  • 8.34, Аноним (6), 15:46, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –5 +/
    В блаженной памяти 1964м у нас все так и было Никакого ненужного тайм-шеринга... текст свёрнут, показать
     
     
  • 9.36, пох. (?), 15:49, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ой, ну конечно же мир ИТ с 2009 изменился ну прямо так же, как с 64го Нет, ну я... текст свёрнут, показать
     
     
  • 10.39, Аноним (58), 15:54, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Железный аргумент, чо ... текст свёрнут, показать
     
     
  • 11.111, Аноним (110), 13:07, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Не надо его обижать У него действительно незавидная участь Если бы мне в 2020 ... текст свёрнут, показать
     
     
  • 12.120, пох. (?), 18:36, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ты когда придется - не забудь мне сказать, я тебя заменю Если бы мне доверили ж... текст свёрнут, показать
     
  • 9.66, comrade (ok), 19:32, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –1 +/
    На 5 с плюсом ... текст свёрнут, показать
     
  • 9.112, Аноним (110), 13:09, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Поколение пепси так не умеет, увы Им подавай ядро, инит, драйверы, планировщи... текст свёрнут, показать
     
  • 8.52, имя (ok), 16:34, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Невозможность осилить ни единого способа пакетирования и отслеживания зависимост... текст свёрнут, показать
     
     
  • 9.54, пох. (?), 17:09, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +2 +/
    тебе срочно на курсы по разработке докера Так - сегодня только лохи делают нет... большой текст свёрнут, показать
     
     
  • 10.86, имя (ok), 10:46, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Билеты продаёшь - Я бы в твоём возрасте, наверное, не рискнул Уж лучше собир... текст свёрнут, показать
     
     
  • 11.88, пох. (?), 12:11, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    не, пока морально не готов Личинку короеда я, положим, могу без проблем сожрать... текст свёрнут, показать
     
     
  • 12.97, имя (ok), 18:34, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Я скорее про эпидемиологическую ситуацию ... текст свёрнут, показать
     
     
  • 13.99, пох. (?), 19:24, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    говорят, постоянно имеющие дело с собаками и кошками в среднем заболевают менее ... текст свёрнут, показать
     
  • 7.70, псевдонимус (?), 20:43, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Не пинди, дегенеративные! В конечном счёте все всегда упирается в железо. И с докером потери производительности всегда будут. И чем больше омноконтейнеров, тем больше будут потери.

    ЗЫ: докер и производные это Ява 21-го века.

     
     
  • 8.108, Аноним (110), 12:59, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Вопрос только в количестве Полпроцента от уровня сpём в систему 8212 не оч... текст свёрнут, показать
     
  • 7.113, Аноним (110), 13:13, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    >  Спасибо, о великий анонимус! Я тут посчитал, что мы можем отказаться от докера и деплоить сервисы в традиционные, милые всем виртуалки без богомерзких, этих вот, контейнеров.

    Чyвак, виртуалки — это дополнительный слой абстракции, вносящий тормоза. Причём не эфемерные, как у докера, а вполне ощутимые.

    > А вообще виртуалки - это не серьёзно. У настоящих мужиков - везде физические сервера.

    Именно. Нужно запилить новый сервис — достаётся со склада резервный сервак, и команда специально обученных сисадминов едет в ДЦ ставить его в предварительно закупленное место в стойке. После чего конфигурирует, не отходя от этой же стойки (удалённая работа — признак девляпсины).

     
     
  • 8.118, пох. (?), 16:49, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    чувак - ты _феерический_ кретин по другому - феерические кретины, оставшись без... большой текст свёрнут, показать
     
  • 8.122, Аноним (122), 19:42, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    https ru wikipedia org wiki Аппаратная_виртуализация Не благодари ... текст свёрнут, показать
     
  • 5.23, пох. (?), 14:46, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    а вот кстати - понадобилось надысь для отладки одного (очередного антидокерного но вопрос не в том) убожества ldconfig запустить в контейнере. И как мы без sudo (и, надо думать, su девляпсу тоже "нинуна") делать это будем? (да, в этом плане контейнер как надо контейнер, работает от юзера)

     
     
  • 6.104, Аноним (110), 12:45, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • –1 +/
    man docker-exec, см. ключ -u

    Вы вообще когда-нибудь докер видели?

     
     
  • 7.125, пох. (?), 21:06, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > man docker-exec, см. ключ -u

    ниработаит. Девляпс, интересно, сможет сообразить, почему?
    > Вы вообще когда-нибудь докер видели?

    нет, где там мне. Это ж только вчерашним недокодерам на пихоне доступно!


     
  • 3.10, Михрютка (ok), 13:10, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >>>And my personal favorite: Python support for plugins, which enables you to easily extend sudo using Python code instead of coding natively in C.
     
     
  • 4.25, пох. (?), 14:47, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    фаааак :-(

     
  • 3.14, Михрютка (ok), 13:24, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    но походу sudo_logsrvd не совсем вместо сислога, это демон для централизованной записи логов для sudoreplay.
     

  • 1.7, Аноним (110), 12:54, 14/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +9 +/
    > В состав включён фоновый процесс sudo_logsrvd, предназначенный для централизованного ведения логов с других систем.

    Ждём читалку QR-кодов, и тогда sudo будет готов сразиться с systemd на равных.

     
     
  • 2.13, Аноним (12), 13:16, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Не принижайте возможности systemd! Он гораздо более избыточн^W функциональный
     
     
  • 3.105, Аноним (110), 12:46, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    sudo работает над тем, чтобы сократить разрыв.
     
  • 2.27, пох. (?), 14:53, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    че как маленький - сам запили, на пихоне!  Уже ж можно!

    Только чур по взрослому, без трусов - не самому скриптовать, а подтянуть зависимостей зависимостей для нескучной библиотечки, этак сотню-другую!

    Мы победим этого сцыстемде с его дурацкой сишечкой!

     
     
  • 3.43, Аноним (43), 16:19, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Лучше на Жеесичке, для не него можно гоораздо больше разных npm-чиков подтянуть, да с бекдорчиками.
     
     
  • 4.44, пох. (?), 16:22, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Пришли Тоду патч - он наверняка с удовольствием запилит.

     
     
  • 5.85, КО (?), 10:19, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Зачем, запили JS на Пайтоне, остальное подтянут. :)
     
     
  • 6.89, пох. (?), 12:12, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    > Зачем, запили JS на Пайтоне, остальное подтянут. :)

    таак, кажется, я знаю чем буду заниматься на пенсии (или в принудительном отпуске без права покидать квартиру)!

     

  • 1.8, Аноним (9), 12:56, 14/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >Добавлена возможность разработки плагинов для sudo на языке Python,
    >которая включается при сборке с опцией "--enable-python";

    Уязвимости для судо теперь можно писать на питоне. Удобно.

     
     
  • 2.28, пох. (?), 14:53, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +2 +/
    это не дыра! Это технологическое отверстие!
     

  • 1.16, Аноним (16), 13:49, 14/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Перешёл на opendoas и не жалею.
     
     
  • 2.18, Аноним (18), 14:18, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Перешел на FreeDOS, вoобще не знаю линуксопроблем
     
     
  • 3.21, Капитан Очевидность (?), 14:30, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Исправлена опечатка «opendoas» - нажмите 'отменить' - поиск думает за Вас очевидно!
     
  • 2.24, Аноним (24), 14:46, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    как-то пол года назад решил пробовать, но после того как для себя делал пометки в виде комментариев в его конфиге на русском языке его начало не по детски колбасить, то есть на сколько я понял doas при разборе своего конфига не мог нормально разбирать utf8 символы
     
     
  • 3.30, Капитан Очевидность (?), 15:11, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    если #пробел -  doas: Authorization failed, если ##пробел - все работает.
     
     
  • 4.37, пох. (?), 15:53, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > если #пробел -  doas: Authorization failed, если ##пробел - все работает.

    дайте угадаю - авторы "супербезопастной" подделки под sudo не выбросили в помойку одно из наиболее вредных (я уж молчу про реализацию!) изобретений - "#include"

    И напарываются на ваши рюйске буквы (я бы, правда, отдельно убивал тех кто в технические конфиги лезет со своим 1С)

     
     
  • 5.41, Капитан Очевидность (?), 16:06, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    #пробел и коммент на родном английском работают - это же очевидно!
     
     
  • 6.45, пох. (?), 16:23, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    естествено - оно обламывается на символе который не символ.

    Но единственная причина парсить _комментарии_ - include.

     
  • 5.56, Дон Ягон (ok), 17:15, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Не угадал:

    $ man doas.conf | grep -i include                                                                                                              
    $

    $ man doas | grep -i include                                                                                                              
    $

     
     
  • 6.62, пох. (?), 18:40, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    > Не угадал:

    что ж оно там тогда в комментариях _парсит_, вместо скипнуть строку, и как вообще такой код можно было умудриться написать?!

     
     
  • 7.63, Дон Ягон (ok), 18:53, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> Не угадал:
    > что ж оно там тогда в комментариях _парсит_, вместо скипнуть строку, и
    > как вообще такой код можно было умудриться написать?!

    Не знаю.
    У меня в OpenBSD 6.7 не воспроизвелось, проверил вот сейчас.
    #, далее что пробел, что сразу слова на русском - всё работает.
    Ну т.е. следующий запуск doas не приводит к ругани.

    Но если что-то такое таки имеет место, то это выглядит как какая-то очень странная и наркоманская проблема, да.

     
     
  • 8.67, Капитан Очевидность (?), 20:16, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Да, Вы правы, дело в локали окружения, при добавлении keepenv все работает и с ... текст свёрнут, показать
     
     
  • 9.68, Дон Ягон (ok), 20:22, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Я не могу быть прав или не прав, потому что я ничего толком не утверждал У ме... текст свёрнут, показать
     
     
  • 10.69, Капитан Очевидность (?), 20:37, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Ваш коммент и то что doas отвечала на английском направили меня в doas conf У м... текст свёрнут, показать
     
  • 3.72, Аноним (24), 21:35, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    ха, вот еще словил прикол

    $ touch аноним
    $ ls аноним
    аноним
    $ sudo ls аноним                                                                                      
    аноним
    $ doas ls аноним
    ''$'\320\260\320\275\320\276\320\275\320\270\320\274'

     
     
  • 4.73, Капитан Очевидность (?), 21:46, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    $ doas ls аноним
    ls: невозможно получить доступ к 'аноним': Нет такого файла или каталога
     
  • 4.74, Капитан Очевидность (?), 21:53, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    $ doas ls аноним
    аноним
    не создал файл
     
  • 4.76, пох. (?), 22:29, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    > ха, вот еще словил прикол

    ну это еще более-менее понятно
    > $ doas ls аноним
    > ''$'\320\260\320\275\320\276\320\275\320\270\320\274'

    locale срезалась. Так и должно быть, мало ли что ты в LANG напихал - прецеденты со срывом стека через него - были.

     
     
  • 5.78, Капитан Очевидность (?), 22:39, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    В doas.conf в строке нет keepenv - вот и срезается...
     
  • 4.77, Капитан Очевидность (?), 22:34, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    После touch лишнее ls, нужно верить, что фал создан - это очевидно!
     
     
  • 5.80, Капитан Очевидность (?), 23:18, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Из комментариев выяснилось:есть doas - замена sudo в OpenBSD (с 5.8 ещё), в Arche это пакет opendoas, после установки создать /etc/doas.conf след. содерж.: permit persist keepenv :ваша группа
    Всем спасибо!
     
     
  • 6.83, пох. (?), 09:49, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +2 +/
    вот не надо так делать.

    Это действительно потенциальная дыра.

    Запуская что-то от рута - потрудись уж выставить окружение конкретно для того что запускаешь, и только то что на самом деле необходимо, а не тащить из своего шелла весь хлам, даже не взглянув, что именно тащишь.

     
     
  • 7.92, Капитан Очевидность (?), 14:38, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Согласен, задача была чтоб doas выводила на языке окружения, если "не тащить из своего шелла весь хлам", то /etc/doas.conf след.содержания:

    permit persist :группа
    permit setenv {LANG=ru_RU.UTF-8} :группа

    Спасибо за комментарий!

     
     
  • 8.94, Капитан Очевидность (?), 15:49, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Лучше так permit persist группа permit setenv LANG ru_RU UTF-8 группа не ... текст свёрнут, показать
     
     
  • 9.96, Аноним (24), 17:52, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    ок, спасибо, работает сделал себе так permit persist wheel permit setenv LANG... текст свёрнут, показать
     
     
  • 10.98, Капитан Очевидность (?), 19:14, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Если группа та же, можно и в одну строку permit persist setenv LANG ru_RU UTF-... текст свёрнут, показать
     
     
  • 11.101, Капитан Очевидность (?), 00:27, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Или указать конкретного пользователя через пробел без двоеточия permit persist ... текст свёрнут, показать
     
     
  • 12.127, wr (?), 15:11, 17/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    в атрибутах doas conf лучше убрать чтение для прочих, чтобы было -rw-r----- 64... текст свёрнут, показать
     
  • 12.130, Капитан Очевидность (?), 13:34, 20/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    если запускать doas mc -ну многим надо- добавьте через пробел переменную XAUTHOR... текст свёрнут, показать
     
  • 2.114, Аноним (110), 13:16, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Перешёл на opendoas и не жалею.

    Если он имеет какое-то отношение к OpenBSD-шному doas, возможно, пожалеть ещё придётся.
    Как у них дела с безопасностью — недавние новости наглядно показали.

     
     
  • 3.117, Капитан Очевидность (?), 13:58, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Очевидно Вы хотели сказать FreeBSD  "недавние новости наглядно показали" У OpenBSD только 2 пробоины, чем они гордятся.
     

  • 1.17, Аноним (17), 14:01, 14/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    sudo update sudo
     
     
  • 2.57, Vindex (?), 17:20, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    sudo apt upgrade sudo
     

  • 1.19, mumu (ok), 14:22, 14/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    > sudo_logsrvd

    Какой-то адский велосипед. Зачем каждой утилите иметь свой собственный демон? Кому нужны логи, тот использует сборщики логов. Нафига тут отдельный процесс, в котором последующие 10 будут ошибки то и дело находить?

     
     
  • 2.29, пох. (?), 14:55, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    Вот видишь - ребята обеспечили себя работой на десять лет. А тебя завтра сократят - кризис, зачем ты вообще нужен если и так в общем все неплохо работа...ой, в суду опять рутовая дыра, срочно возвращайся на рабочее место - надо апгрейдить все конь-тейнеры, мы хз как.

    Нет, что-что, а на недостаток работы можно не жаловаться - их трудами.

     
  • 2.48, Михрютка (ok), 16:25, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >> sudo_logsrvd
    > Какой-то адский велосипед. Зачем каждой утилите иметь свой собственный демон? Кому нужны
    > логи, тот использует сборщики логов. Нафига тут отдельный процесс, в котором
    > последующие 10 будут ошибки то и дело находить?

    man sudoreplay

     
  • 2.53, Аноним (121), 17:02, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ты видишь лишь рябь на поверхности. Загляни глубже.
    Скоро этот фатальный недостаток будет найден Поттерингом, после чего будет запилено systemd-sudod. Такое же, но другое.
     
     
  • 3.55, пох. (?), 17:11, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > ты видишь лишь рябь на поверхности. Загляни глубже.
    > Скоро этот фатальный недостаток будет найден Поттерингом, после чего будет запилено systemd-sudod.
    > Такое же, но другое.

    как будто кого-то при этом еще жалко?!

    В *bsd, к счастью, не разломанная Встолманом версия su, которой (безпарольно, естественно) пользоваться сравнительно безопасно.

     
     
  • 4.71, Аноним (71), 21:33, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    В чём суть претензий к su?
     
     
  • 5.75, нах. (?), 22:24, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    > В чём суть претензий к su?

    Встолмана в детстве гнобили админы в универе - не позволяли загадить все ресурсы shared системы своим ценным барахлом (а возможно и просто п-дили в коридоре). За это он им сделал кастрированную su, которая и используется повсеместно.
    И насмерть стоял чтоб ее ненароком не починили обратно (попытки были).

    В *bsd нет ничего неправильного в root::0:0::0:0:Charlie &:/root:/bin/csh
    (нет, это не означает что любой васян тут же станет рутом - в отличие от страдальцев с gnuтой подделкой)

    Неудобно, когда админов больше одного, но жить можно.

     
  • 3.95, Аноним84701 (ok), 16:00, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > ты видишь лишь рябь на поверхности. Загляни глубже.
    > Скоро этот фатальный недостаток будет найден Поттерингом, после чего будет запилено systemd-sudod.
    > Такое же, но другое.

    С разморозкой!
    https://lists.freedesktop.org/archives/systemd-devel/2018-June/040879.html
    > this option is a big step towards a more secure  system, doing so is likely to break numerous pre-existing UNIX tools,
    >         in particular su and sudo.

    https://github.com/systemd/systemd/issues/825
    > Long story short: "su" is really a broken concept. It will given you kind of a shell, and it's fine to use it for that, but it's not a full login, and shouldn't be mistaken for one. (Великий Рыжий)

     

  • 1.31, псевдонимус (?), 15:27, 14/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Что за помешательство с питон и жсон?. Зачем этой программе вести логи других программ?

    Адский комбайн.

     
     
  • 2.40, пох. (?), 16:02, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Что за помешательство с питон и жсон?. Зачем этой программе вести логи
    > других программ?
    > Адский комбайн.

    оно с 2010го года примерно такое - когда Тодд окончательно кукухой двинулся. Боится отстать от прогресса - отпихнут же ж молодые-прыткие умельцы в sudo su.

    А до этого было насквозь дырявым.

     
     
  • 3.64, псевдонимус (?), 19:19, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    >> Что за помешательство с питон и жсон?. Зачем этой программе вести логи
    >> других программ?
    >> Адский комбайн.
    > оно с 2010го года примерно такое - когда Тодд окончательно кукухой двинулся.
    > Боится отстать от прогресса - отпихнут же ж молодые-прыткие умельцы в
    > sudo su.
    > А до этого было насквозь дырявым.

    У меня такое чуйство, что разработки боится, что его программу схавает система. Вот и приделывает новые омнофичи в надежде, что этого не произойдёт. А это произойдёт, такова идея системы. Лет 5-7 ещё.

    Запомните этот твит.


     
     
  • 4.65, псевдонимус (?), 19:24, 14/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    >[оверквотинг удален]
    >>> других программ?
    >>> Адский комбайн.
    >> оно с 2010го года примерно такое - когда Тодд окончательно кукухой двинулся.
    >> Боится отстать от прогресса - отпихнут же ж молодые-прыткие умельцы в
    >> sudo su.
    >> А до этого было насквозь дырявым.
    > У меня такое чуйство, что разработки боится, что его программу схавает система.
    > Вот и приделывает новые омнофичи в надежде, что этого не произойдёт.
    > А это произойдёт, такова идея системы. Лет 5-7 ещё.
    > Запомните этот твит.

    Системда, это гуглокалвиатура пытается "думать$ " за юзера.

     
     
  • 5.115, Аноним (110), 13:20, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Всё правильно она вам подсказывает. Системда — это не новая идея, в мире *BSD понятие «базовой системы» существует уже сто лет в обед.
     
     
  • 6.123, псевдонимус (?), 19:50, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Всё правильно она вам подсказывает. Системда — это не новая идея, в
    > мире *BSD понятие «базовой системы» существует уже сто лет в обед.

    Где системда и где базовая сиатема.? У тебя уже уплротость в 0.5 поцеринга



     
     
  • 7.126, пох. (?), 21:08, 16/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    >> Всё правильно она вам подсказывает. Системда — это не новая идея, в
    >> мире *BSD понятие «базовой системы» существует уже сто лет в обед.
    > Где системда и где базовая сиатема.? У тебя уже уплротость в 0.5
    > поцеринга

    это не упртость, это [не]знание предмета.


     

  • 1.82, Ананоним (?), 04:05, 15/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Обана. В sudo телеметрию завезли?
     
     
  • 2.84, пох. (?), 10:02, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    нет, но ты можешь написать плагин.

    (ненужно sudoreplay, еще один потенциальный вектор атаки - с нами с того самого 2010, когда Тодд поехал окончательно, начав накручивать фичи поверх улучшизмов поверх расширений того, что должно быть, наоборот, максимально компактным и жестко ограниченным - тем более с уже тогда существовавшей печальной историей бесконечных уязвимостей и проблем)

     

  • 1.90, InuYasha (?), 12:31, 15/05/2020 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    overengineering какой-то.
    Такую базовую и часто используемую утилиту наоборот надо оптимизировать и минимизировать бы...

    Ай да портировать runas :)

     
     
  • 2.93, Капитан Очевидность (?), 15:24, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +/
    не вэлетит - runas is a command in the Microsoft Windows и License Proprietary
     
  • 2.100, пох. (?), 19:29, 15/05/2020 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Ай да портировать runas :)

    дык, su у нас и так (пока) есть. А doass с ее нескучными скобочками - да нунафиг.
    К тому же она самими авторами давно портирована. Чем им вполне разумный (в отличие от реализации) синтаксис sudoers не понравился - видимо, "лишь бы не так же".

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру