Speicherfehler in sudo ermöglicht root Rechte

Nur kurz überflogen, aber sehe ich es richtig, das ein lokaler Benutzer über diesen Fehler Root Rechte bekommen kann? Ich frage, weil ein lokaler Benutzer das immer kann.

Quote from daxb

Ich frage, weil ein lokaler Benutzer das immer kann.

Bei Raspberry Pi OS ist sudo standardmässig mit NOPASSWD konfiguriert, da braucht man sich über die Sicherheit sowieso keine Gedanken mehr machen. Auf etwas ernsthafteren Systemen sieht das schon anders aus...

Quote from daxb

Nur kurz überflogen, aber sehe ich es richtig, das ein lokaler Benutzer über diesen Fehler Root Rechte bekommen kann? Ich frage, weil ein lokaler Benutzer das immer kann.

Ein lokaler Nutzer sollte das nur können, wenn er die Berechtigung dazu hat.

Er muss also in der sudoers eingetragen sein.

Darüber lässt sich auch festlegen, welche Befehle ausgeführt werden dürfen.

Die Standard-Konfiguration von Raspberry Pi OS ist sehr unsicher. Der User pi darf einfach alles.

Quote from fred0815

So wie ich das verstanden habe, ermöglicht es, dass auch Benutzer, die nicht in der sudoers stehen sich root Rechte einheimsen können.

Ja, so ist es. Der User muss nicht in der sudoers drin stehen, damit der Hack funktioniert.

Es ist aber egal, da auf dem Raspberry PI der User pi bereits in der soduers drin steht und kein Passwort benötigt.

Somit gilt das System als kompromittiert, sobald sich jemand Fremdes mit dem User pi erfolgreich eingeloggt hat.

Ja Danke! Das meinte ich damit. Beim unveränderten Standard Raspberry Pi OS ist der sudo Fehler quasi irrelevant. Auf anderen Systemen ist das i.d.R. anders konfiguriert und eher von Bedeutung.

Ist er tatsächlich irrelevant? Okay `pi` darf alles, aber `www-data` doch beispielsweise nicht‽

Quote from __blackjack__

aber `www-data` doch beispielsweise nicht‽

Wenn du das System vorher "sicher" machst, also NOPASSWD vom user pi entfernst, dann ist es nicht mehr irrelevant.

Entsprechend müsste dann sudo entweder entfernt oder aktualisiert werden.

Ich denke nicht, dass die RPI-Nutzer sehr auf Sicherheit bedacht sind.

D.h. in den meisten Fällen hat man:

• Standardpasswort
• aktiviertes SSH
• NOPASSWD
• und bei manchen: IPv6 (öffentliche IP ohne NAT)

Das es Nutzer gibt die ihr System total unsicher konfigurieren macht doch Sicherheitslücken nicht irrelevant. Das Argument finde ich genau so unsinnig wie das Datenschutz egal ist weil so viele bei Facebook & Co ihre Daten freiwillig abgeben.

Nur lokale Nutzer können Root-Rechte erlangen. D.h. es muss eine weitere Sicherheitslücke offen sein, damit dann z.B. über www-data Code ausgeführt werden kann. D.h. User die betroffen sind, haben mehr als einen gravierenden Fehler gemacht. Erst dadurch ist dann eine remote execution möglich. Also trifft es letztendlich diejenigen, die schon andere Lücken mit eingebaut haben. Das kann eine unsichere Konfiguration von PHP sein + unsicheres CMS.

Lass die Kirche im Dorf. Wer sichere Server betreiben will, verwendet auch kein Raspberri PI Os. Es ist schlichtweg nicht für Server ausgelegt.

Sieht man schon an den tollen Standardeinstellungen.

Eben. Und wenn man es sicher haben will, dann ist sudo auch nicht auf dem System installiert.

Ist eine sehr pauschale Aussage. Ich kenne einen Haufen sicherer Systeme die *brauchen* ``sudo``, weil aus Sicherheitsgründen gar kein `root`-Benutzerkonto existiert und man per ``sudo`` verschiedenen (System)benutzern nur bestimmte Dinge erlauben kann, statt das die einfach alles können wenn sie Adminrechte für bestimmte Dinge brauchen.

Quote from __blackjack__

per ``sudo`` verschiedenen (System)benutzern nur bestimmte Dinge erlauben

Für diesen Zweck wurde es ja auch geschaffen. Die "Pervertierung" es als kompl. root-Ersatz, sinnigerweise teils mit NOPASSWD, kam erst sehr spät. Dann aber leider nachhaltig

Quote from DeaD_EyE

Es ist schlichtweg nicht für Server ausgelegt.

Sieht man schon an den tollen Standardeinstellungen.

Standardeinstellungen retten dich auch auf Debian, Proxmox, Gentoo uvm. nicht, sobald du Ports ins Netz exposed.

EDIT: https://www.raspberrypi.org/do…configuration/security.md

Quote from sls

Standardeinstellungen retten dich auch auf Debian, Proxmox, Gentoo uvm. nicht, sobald du Ports ins Netz exposed.

Habe ich nicht behauptet.

Aber die falschen Einstellungen bei Rasberry PI OS zu korrigieren, ist nochmal zusätzliche Arbeit.

Debian nutze ich seit Jahren auf Servern seit 2004 und kenne die Distribution besser als Raspberry PI OS, auch wenn diese nur ein Fork ist.

Ich würde z.B. für Server auf dem Rapberry PI ein Ubuntu ARM Server einrichten, da dort die Pakete etwas aktueller sind.

Jedenfalls kann man auch erwarten, dass das Paket sudo auch beim Ubuntu Server vorinstalliert ist.

Es ist auch nicht das erste Mal, dass es mit sudo Probleme gibt.

So einen bug würd ich auch gerne benutzen können

Aber bei den Systemen wo ich gerne reinhacken würde da gibt es kein sudo, aber trotzdem "linux"

Quote from fred0815

das Glasfaser ging leider nicht mit rein ins Loch.

Kommt noch. Wenn einmal alles wieder zu und ordentlich ist, dann werden die Glasfaserkabel verlegt.

[OT]

Quote from STF

Wenn einmal alles wieder zu und ordentlich ist, dann

es ist zwar das gleiche Loch aber der Zugriff erfolgt aus verschiedenen Dimensionen. Jede "Sparte" hat eigene Pläne von dem was unter der Oberfläche ist. Und der Ablauf beginnt immer mit Aufgraben.

[/OT]

[OT]

Ihr habt die Wasserwerke vergessen, die kommen immer zwischen den Stromern und den Telekomikern!

[/OT]

Gruss