Altera a propriedade do arquivo de um usuário para outro usuário que o primeiro usuário controla

Question

Eu já sei que não posso usar chown willi-nilly como um usuário normal , mas na minha situação eu tenho dois usuários: user1 e user2 onde user1 é permitido, pelo arquivo Sudoers, sudo como user2 . / p>

Ainda não é possível para user1 dar a propriedade do arquivo para user2 ?

O melhor que eu tenho feito até agora é ter user1 perform:

user1@localhost$ sudo --user user2 cp fileOwnedByUser1 /tmp/fileOwnedByUser1
user1@localhost$ rm fileOwnedByUser1
user1@localhost$ sudo --user user2 mv /tmp/fileOwnedByUser1 fileOwnedByUser1

No entanto, isso parece desajeitado e ineficiente. Existe uma maneira melhor de user1 fazer isso? A única coisa que me ocorre até agora, é colocar user1 como sendo capaz de executar "chown" como root no arquivo Sudoers .

    

Answer 1

O fato de que user1 tem permissão para executar comandos como user2 via sudo não importa para as decisões de permissão de arquivo que são tomadas em um nível muito mais baixo, no kernel. Lá, chown é reservado para root (o Linux também permite processos com o recurso CAP_CHOWN , mas isso não ajuda, porque dar a um processo esse recurso equivale a indiretamente conceder privilégios de root).

Você pode escrever uma regra sudo, talvez com um pequeno script wrapper, que permita ao usuário1 chamar chown nos arquivos que pertencem ao usuário2. O problema é que isso é inseguro porque haveria uma condição de corrida entre a verificação de propriedade no arquivo e a chamada para chown : user1 (ou até mesmo um terceiro usuário, dependendo das permissões do diretório) poderia substituir outro arquivo entre a verificação e a ação.

Você pode escrever um pequeno programa que use a fchown chamada do sistema : abra o arquivo, ligue para lstat , verifique a propriedade atual e, se estiver tudo bem, ligue para fchown . Não há risco de substituição de arquivo aqui, pois a verificação e a ação são realizadas no mesmo identificador de arquivo.