A adição de um usuário ao grupo do apache cria uma falha de segurança?

Question

Pergunta básica. Eu vi isso mencionado em um site, considerado uma prática ruim, mas não me lembro onde e por quê. Então, se eu tiver um usuário que tenha acesso a arquivos que o Apache não deveria ter acesso, e eu adicionar este usuário ao grupo Apache, isso criaria uma falha de segurança. Se sim, por que (o Apache não deveria poder acessar os arquivos confidenciais se, por exemplo, a permissão for 700)?

    

Answer 1

Qualquer configuração de permissão pode criar um problema de segurança em alguns ambientes, se o impacto das permissões não for compreendido.

Adicionar um usuário a um grupo geralmente não dará privilégios especiais a esse grupo. Os arquivos pertencentes ao usuário normalmente não estarão visíveis para os membros desse grupo, pois você provavelmente não está configurando esse grupo como o grupo padrão para esse usuário.

Se o usuário usar sg ou algo para criar arquivos para que o grupo tenha acesso ao arquivo, qualquer membros desse grupo irão para o arquivo. Se essa pessoa criar algum arquivo ou diretório e conceder privilégios de leitura / gravação a esse grupo, então, potencialmente, um bug no servidor da Web ou no código sendo exibido poderia ser explorado para armazenar arquivos arbitrários nesse diretório e servir isso.

Em algum tipo de organização de vários inquilinos, a concessão de permissões ao grupo apache pode permitir que um inquilino veja dados criados e pertencentes a outro inquilino.

Em qualquer caso, leve algum tempo e use o comando find com a opção -gid para arquivar arquivos e diretórios em seu sistema que pertençam a esse grupo. Isso permitirá que você veja a que você está concedendo acesso quando adicionar um usuário a um grupo.

    

Answer 2

você geralmente executaria o apache como um usuário com quase nenhum privilégio no sistema. Normalmente, menos do que você daria a usuários normais no sistema. O usuário que está executando o apache deve ter acesso de gravação a quase nenhum lugar, esperançosamente em nenhum outro lugar além do registro em log. Você presumivelmente adicionou um usuário ao grupo apache para dar a esse usuário privilégios adicionais. são privilégios que o processo do servidor apache precisa em primeiro lugar? Esses privilégios devem ser atribuídos a algum outro grupo com o qual o usuário faz parte ao invés do grupo do apache?