como evitar que o sudo execute um arquivo não root?

Question

Eu quero impedir que sudo execute arquivos que não são de propriedade do root.

então, para permitir que sudo execute tal arquivo, eu quero que o arquivo seja:
chown root:root filename
chmod go-w filename

É possível limitar sudo desta maneira?

Ele também deve ser herdado pelo gráfico sudo como corredores (gksudo, kdesudo, ...), mas eu acho que pode ser muito complicado, não tenho certeza.

    

Answer 1

É uma ideia genuinamente interessante, mas não sem problemas.

Você pode adicionar um grupo "semiadmin" (sua escolha no nome), colocar um usuário nesse grupo em vez do grupo "sudo" e adicionar /etc/sudoers linhas usando curingas para corresponder aos locais comuns da raiz comandos ao vivo:

%semiadmin (ALL)=/usr/bin/*,/bin/*,/sbin/*

O problema com essa abordagem é que você também precisaria evitar que alguém usasse qualquer editor (ou visudo ), ou deixá-los editar seu usuário ... Se eles puderem fazer isso, eles poderão elevar seus privilégios.

Simplificando, é muito mais fácil especificar exatamente quais comandos você deseja que eles usem.
Uma lista de comandos que você limpou para brechas.

    

Answer 2

Entre como o proprietário do arquivo que não é root e revogue a permissão de execução de outros usuários usando este comando

chmod o-x filename