ALT Linux Bugzilla – Full Text Bug Listing
| Summary: | в /root/autoinstall.scm явно написаны пароли | ||
|---|---|---|---|
| Product: | ALT Linux Lite | Reporter: | Ivan Zakharyaschev <imz> |
| Component: | installer | Assignee: | Anton V. Boyarshinov <boyarsh> |
| Status: | CLOSED FIXED | QA Contact: | Andrey Cherepanov <cas> |
| Severity: | major | ||
| Priority: | P2 | CC: | cnamep, inger, slazav, wrar |
| Version: | 4.0.2 | Keywords: | alterator-platform-1.4 |
| Hardware: | all | ||
| OS: | Linux | ||
| Bug Depends on: | 15080 | ||
| Bug Blocks: | |||
|
Description
Ivan Zakharyaschev
2008-07-31 16:48:37 MSD
Как, опять? А как тогда этот autoinstall юзать, если там пароля в явном виде нет? (In reply to comment #1) > Как, опять? > > А как тогда этот autoinstall юзать, если там пароля в явном виде нет? Ну, можно придумать способ сразу hash вписывать при автоустановке. (In reply to comment #0) > (Например, плохо, что пользовательский пароль сможет прочитать всякий root, Или, например, админ будет раздавать этот autoinstall.scm для массовой уствновки работникам, которым он сильно не доверяет. (In reply to comment #1) > Как, опять? Да, нашёл ещё одно сообщение на эту тему (https://bugzilla.altlinux.org/show_bug.cgi?id=15080 ). Возможно, такого уже нет в текущем рабочем варианте installer-а, но в Lite 4.0.* пока ещё проблема открыта же. По крайней мере, об этом надо громко сообщать и делать это осознанным выбором ставящего. Иначе, они там лежат в plain text, а он об этом и не знает. (Иначе какой смысл в /etc/shadow заморачиваться тогда с hash-ами, если они всё равно в этой файловой системе лежат себе и в plain text?..) *** Bug 16809 has been marked as a duplicate of this bug. *** Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть уязвимость, то даже любой ламерок сможет в узнать пароль рута....... (заюзал эксплойт с какого-то сайтика и на те пароль). Я думаю что если нужна автоустановка, то это должен быть отдельный пакет который будет создавать файлик и пароль полюбому не в плаин тексте..... И второй момент!!! - зачем этот файл создается при установке сервера????!!!! Вы себе представляете интернет шлюз с такой дырой в которую можно слона протолкнуть......... (In reply to comment #7) > Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть > уязвимость, то даже любой ламерок сможет в узнать пароль рута....... Для этого он должен будет уже быть рутом. (In reply to comment #8) > (In reply to comment #7) > > Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть > > уязвимость, то даже любой ламерок сможет в узнать пароль рута....... > Для этого он должен будет уже быть рутом. не факт... это может быть любой из процессов запущеный от имени рута..... (In reply to comment #9) > (In reply to comment #8) > > (In reply to comment #7) > > > Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть > > > уязвимость, то даже любой ламерок сможет в узнать пароль рута....... > > Для этого он должен будет уже быть рутом. > не факт... это может быть любой из процессов запущеный от имени рута..... Что то же самое. (In reply to comment #10) > (In reply to comment #9) > > (In reply to comment #8) > > > (In reply to comment #7) > > > > Та да....., а если вовремя не проапдейтил какой-то пакет в котором есть > > > > уязвимость, то даже любой ламерок сможет в узнать пароль рута....... > > > Для этого он должен будет уже быть рутом. > > не факт... это может быть любой из процессов запущеный от имени рута..... > Что то же самое. нет.... это может быть тот же самый альтератор в котором завтра кто-то найдет баг и зайдет примерно по такой ссцылочке https://hostname:8080/fbi-bin/index.scm/?read=/root/autoinstall.scm или вы будете утверждать что данной ситуации просто невозможно..... (In reply to comment #4) > (In reply to comment #1) > > Как, опять? > > Да, нашёл ещё одно сообщение на эту тему (https://bugzilla.altlinux.org/show_bug.cgi?id=15080 ). > Возможно, такого уже нет в текущем рабочем варианте installer-а, но в Lite 4.0.* пока > ещё проблема открыта же. В Desktop 4.1 то же самое, можно убедиться в https://bugzilla.altlinux.org/show_bug.cgi?id=18274#c1 . Да, sed-овый хак отвалил из-за переименования полей. Можно делать reopen ... только исправлять буду только в следующем году ;) 2slazav: Захочешь исправить - исправлять надо в пакете alterator-wizardface. (In reply to comment #13) > Можно делать reopen ... только исправлять буду только в следующем году ;) Каково сейчас положения в 4.0, не знаю, поэтому открываю отдельное сообщение для 4.1: https://bugzilla.altlinux.org/show_bug.cgi?id=18305 |
