重要情報 プルリクエスト情報 タイトル: メタデータの検証およびその他のセキュリティ強化 #346 ステータス: マージ済み マージ担当者: ebiggers マージ日: 2022年2月24日 セキュリティ強化 1. 緊急のセキュリティ変更: - 悪意のある構成のマウントポイントパスを処理できるよう、 および bash 補完スクリプトを修正。 - メタデータファイルを読み込む前に、すべてのメタデータファイルのサイズと型を検証する。 - 誤ったユーザーが所有するログインプロテクターを拒否する。 - が、全体書き込み可能モードとシングルユーザー書き込み可能モードの選択を提供するようにする。 2. その他のハードニング: - 非ルートユーザーとして実行する場合、別の非ルートユーザーが所有するメタデータファイルや、別の非ルートユーザーが所有するディレクトリ内のメタデータファイルを読み込まない。 - メタデータファイルのモードを 0644 ではなく 0600 で作成する。 - がシステムユーザーを完全に無視するようにする。 議論ポイント レビューを容易にするため、変更を個別のコミットに分割する。 モード 0155 のメタデータディレクトリに潜在的な問題があります。これにより、非ルートユーザーが所有するポリシーまたはプロテクターの更新が阻止される可能性があります。 2つの潜在的な解決策: 1. の 関数が特権を降下させないようにし、攻撃 surface を拡大させる。 2. ファイル作成権限がない場合、更新が直接の上書きにフォールバックするようにし、これが原子性を保証しない可能性がある。 関連する脆弱性 CVE-2022-25326 CVE-2022-25327 CVE-2022-25328 参加者 ebiggers josephlr dirkmueller mgerstner