Como se defender do escalonamento de privilégios se o usuário estiver usando o grupo de discos?

Question

Uma instalação básica do Centos7:

[root@teszt ~]# lsblk
NAME        MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
sda           8:0    0  100G  0 disk 
├─sda1        8:1    0    1G  0 part /boot
└─sda2        8:2    0   99G  0 part 
  ├─cl-root 253:0    0   50G  0 lvm  /
  ├─cl-swap 253:1    0    2G  0 lvm  [SWAP]
  └─cl-home 253:2    0   47G  0 lvm  /home
sr0          11:0    1 56.6M  0 rom  
[root@teszt ~]# ls -lah /dev/sda1
brw-rw----. 1 root disk 8, 1 Mar 12 09:25 /dev/sda1
[root@teszt ~]# useradd -m tesztuser
[root@teszt ~]# id tesztuser
uid=1000(tesztuser) gid=1000(tesztuser) groups=1000(tesztuser)
[root@teszt ~]# usermod -a -G disk tesztuser
[root@teszt ~]# id tesztuser
uid=1000(tesztuser) gid=1000(tesztuser) groups=1000(tesztuser),6(disk)
[root@teszt ~]# su - tesztuser
[tesztuser@teszt ~]$ id
uid=1000(tesztuser) gid=1000(tesztuser) groups=1000(tesztuser),6(disk) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
[tesztuser@teszt ~]$ dd if=/dev/sda1 of=copy-of-boot-fs
2097152+0 records in
2097152+0 records out
1073741824 bytes (1.1 GB) copied, 5.33951 s, 201 MB/s
[tesztuser@teszt ~]$ ls -lah copy-of-boot-fs 
-rw-rw-r--. 1 tesztuser tesztuser 1.0G Mar 12 09:28 copy-of-boot-fs
[tesztuser@teszt ~]$ 

Pergunta : se precisarmos fornecer o usuário "normal" ao grupo "disco", como podemos nos defender dos ataques como escalonamento de privilégios? O usuário pode ler / gravar no disco RAW, fazendo assim o que quiser, ex .: trojan o kernel na próxima reinicialização ou modificar seu uid / gid para god 0/0.

Adicionar um usuário normal ao grupo de discos é necessário quando ex .: um usuário normal está usando o VirtualBox e quer usar um RAW LV para o convidado, e não um arquivo sobre um FS devido ao desempenho.

    

Answer 1

if we need to give the "normal" user to the "disk" group, how can we defend from the attacks like privilege escalation?

Você não pode. A solução não é colocar os usuários no grupo disk . Não é para isso.

Para conceder ao usuário acesso a um volume bruto, coloque esse volume em um grupo diferente e apenas esse volume. A maneira de fazer isso é adicionar uma regra de udev . Consulte conceda permissões de grupo a um dispositivo específico , Regra do Udev não configurando o grupo , Permitir que usuário não-root leia / grave / dev arquivos ,…