W

yobraźmy sobie następujący scenariusz. Wyciekł klucz SSH umożliwiający zalogowanie się do zwykłego konta platformy wdrożeniowej. Był on używany do wdrażania i aktualizacji repozytoriów za pomocą ansible. Umożliwia on zalogowanie się na powłokę systemową grupy serwerów, na której są budowane i uruchamiane kontenery Docker. Samo konto nie posiada żadnych dodatkowych uprawnień ani grup. Zastanówmy się teraz w jaki sposób możemy dokonać eskalacji uprawnień wykorzystując jedną z przestrzeni nazw (ang. namespace) kontenera Docker oraz rozszerzonej możliwości Linuksa (ang. capabilities).
[ czytaj całość… ]

W

najnowszym numerze Linux Magazine Tim Schürmann opisał bardzo ciekawy projekt: Firejail – program do tworzenia piaskownic (ang. sandboxes), który redukuje ryzyko naruszenia bezpieczeństwa systemu poprzez ograniczanie środowiska niezaufanych aplikacji za pomocą przestrzeni nazw, seccomp oraz Linux capabilities. Pozwala to procesowi i jego potomnym na posiadanie własnego widoku systemu plików, współdzielonych zasobów jądra, stosu sieciowego, tabeli procesów itd.. Firejail zintegrowany jest z cgroups i dodatkowo może zostać uruchomiony w już działającym środowisku SELinux, czy AppArmor.

Więcej informacji: Firejail HOWTOs

D

o uruchomienia serwera Apache (za przykład posłuży system CentOS 6.x) potrzebne są nam „POSIX capabilities” (pakiet RPM libcap). Szczerze mówiąc sam mechanizm PCAP stanowi obszerny materiał – w tym wpisie zostanie przedstawiony tylko szczątkowo jako możliwość uniknięcia korzystania przez serwer httpd z praw administratora do nasłuchu na porcie 80. Ze względu na przypisywanie uprawnień PCAP plikom w postaci rozszerzonych atrybutów (ang. extended attributes) pierwszym krokiem jest modyfikacja binarnego pliku httpd:
[ czytaj całość… ]