[RFC] Security through obscurity mnohých týmů na SF.net

20.7.2007 20:08 | Přečteno: 952× | OpenSource | | poslední úprava: 21.12.2010 17:02

Zápisek pojednává o bezpečnostním problému na SF.net, kdy všechny soubory dostupné pro webový server musí mít nastavena práva pro čtení všem uživatelům.

Sourceforge.net je služba zajišťující hosting největšího počtu open source projektů. Mezi nabízenými službami nechybí samozřejmě ani bezplatný prostor pro web, aby bylo možné jednotlivé projekty patřičně propagovat. Web projektu se umísťuje na serveru shell.sourceforge.net do adresáře /home/groups/X/XY/XYZZZ/htdocs, CGI skripty pak do /home/groups/X/XY/XYZZZ/cgi-bin, tedy nic neobvyklého. Méně obvyklé ale už je, že všechny soubory zde musí mít nastavený bit pro čtení pro všechny uživatele, aby se k těmto souborům mohl dostat webový server. To nemusí být žádný problém, pokud není potřeba mít web dynamický. Pokud se ale mají stránky dynamicky generovat a zároveň má být jako úložiště použita MySQL databáze (wiki, CMS, …), naráží se zde na problém – uživatelské jméno a heslo, které musí být uloženy v některém přístupném souboru, budou dostupné komukoliv, kdo si pořídí bezplatný účet na SF.net a umí používat SSH.

Druhou možností je využít souborové úložiště. Pak se budou data nacházet v adresáři /tmp/persistent/FOO, ale s tím v podstatě dochází ke stejnému problému. Pokud má být toto úložiště zpřístupněno webovému serveru, musí se nastavit patřičná práva opět pro všechny uživatele a ne jenom pro uživatele, pod kterým běží webový server.

Jak z toho ven? Bohužel zde asi není jednoduché východisko. U mnoha projektů asi tato „drobná“ vada na kráse nebude vadit. Pravděpodobně dostatečně často zálohují databázi a kontrolují, jestli náhodou někdo chyby nezneužil.

Podle oficiálního návodu se zdá, že se o tom ví, ale není jednoduché řešení, jak to opravit. Proto bych rád tímto blogem budoucí i stávající uživatele SF.net upozornil, aby si na svá data na SF.net dávali pozor. Dřív nebo později může této chyby někdo využít.

       

Komentáře

[Joseph]

kedysi som ich na to upozornoval i ja. vedia o tom ale nevidia jednoduche riesenie. mozno skutocne zaberie az ked nejake script-kiddie to vyuzije k mass defacementu.

[Filip Jirsák]

Ono totiž asi jediné řešení je to, aby Apache k souborům každého projektu přistupoval s právy uživatele nebo skupiny, která má k tomu projektu práva (a nemá práva k ničemu jinému). Nestačilo by ani povolit přes ACL přístup jednomu uživateli, pod kterým by běžel web server, protože s možností psát CGI skripty by se k těm souborům stejně mohl dostat každý, kdo má práva vytvářet nebo upravovat skripty.

Ostatně webhosting asi nebude ta hlavní služba, kterou SF provozuje, takže pokud má někdo potřebu používat nějaké skripty či databázi, může web hostovat jinde a ze SF používat „pouze“ CVS/SVN, bugzillu, fórum, atd. atd.

[Joseph]

to je sice pravda, ale i tak si nemyslim ze je to stastne riesenie. hladal som nejake vychodiska z tej situacie ale na nic som neprisiel (nehladal som az tak dlho aby som prisiel ;) ). Mne to pripada tak trochu ako kostlivec v skrini. raz to vypadne a bude to pruser.

[Luk]

Ono příliš nemá smysl něco dávat do hostingu na SF.net, má trvalé problémy s rychlostí (přesněji řečeno pomalostí).

[andree]

aspon jeden dalsi dobry prvy zapisok :o)

inak riesenie by mohlo byt v "externej" centralnej databaze hesiel (dost hnusne, suhlasim) - a pristup do hesiel pre dany projekt by mal len vlastnik a/alebo skripty v jeho adresari (co by mozno nemuselo byt take tazke zariadit)... alebo som na nieco zabudol, alebo to napadlo aj inych ale tiez si myslia ze to je prilis nechutne riesenie :o)

[Luboš Doležel (Doli)]

Nestačilo by změnit skupinu konkrétních souborů na apache/něco obdobného a nedávat čtení ostatním?

[Filip Jirsák]

Jednak je nejspíš skupina souborů nastavená tak, aby s nimi mohl manipulovat kdokoliv z daného projektu (nbo vybraní správci) – každopádně to ale asi nebude pouze jeden uživatel. Druhak když ty soubory může přečíst Apache, a já si můžu napsat libovolný CGI skript, stejně k nim mám přístup…

[lefti]

Co takhle napsat do apache modul ktery by umel neco jako toto http://www.proftpd.org/docs/directives/linked/config_ref_DefaultRoot.html ?

[jnc]

suexec?

[PP]

Ano, to by mělo být jedno z řešení. Je uvedeno i v odkazovaném návodu, ale taktéž tam je "vysvětleno", proč není použito:

Group membership of 'nobody' user: SourceForge.net staff continue to evaluate methods for improving the overall security of the project web services. Methods such as suexec and cgiwrap do not suitably address our performance and scalability needs. Though users have requested this in the past, we will not add the project web server user (nobody) to your project group, nor change file ownership to match the project web server user. You are encouraged to make regular backups of your data, make use of our project database service, and carefully consider the security limitations of the shared web environment before implementing any applications.