Informática

[Tartu]

Localizar y borrar/modificar los ejecutables SUID/SGIDs innecesarios

Un ejecutable SUID (set user ID, establecer identificador de usuario) o SGID (set group ID, establecer identificador de grupo) es aquel que permite a un usuario ordinario ejecutarlo con privilegios mayores de los que tiene por defecto.

Un ejemplo común es el binario passwd el cual, entre otras cosas, permite a un usuario normal cambiar su contraseña. Estas contraseñas están almacenadas en un archivo que solo puede ser alterado (y algunas veces leído) por el usuario root y, por lo tanto, los usuarios que no sean root no deberían ser capaces de cambiar sus contraseñas. Los permisos de acceso para este ejecutable son:

-r-s--x--x 1 root root 18992 Jun 6 2003 /usr/bin/passwd

Como puedes ver, el bit de dueño está establecido a 's' en lugar del 'x' normal, haciendo que el binario sea SUID; es decir, cuando un usuario ordinario ejecuta passwd, se ejecutará con los privilegios del dueño del archivo - en este caso el usuario root.

Muchos de los ejecutables SUID/SGID son necesarios, como el ejecutable passwd ya comentado. Sin embargo muchos otros no lo son. Los programas SUID/SGID pueden ser aprovechados por usuarios locales maliciosos para ganar privilegios en tu sistema. Ejecuta los siguientes comandos como root para encontrar todos estos ejecutables:

find / ( -perm -4000 -o -perm -2000 )

o si quieres una lista mas detallada:

find / ( -perm -4000 -o -perm -2000 ) -exec ls -ldb {} ;

Ahora deberíamos recorrer cada uno de los elementos de la lista intentado reducir el número de los archivos cuyo dueño sea el usuario root o que estén en el grupo root a lo mínimo imprescindible bien borrando los binarios SUID/SGID innecesarios y/o borrando el bit SUID/SGID.

Los paquetes que contengan ejecutables SUID/SGID y que no vayas a usar pueden eliminarse buscando primero el paquete con, por ejemplo, rpm -q --whatprovides /usr/sbin/kppp y después desinstalándolo con rpm -e package-name.

El bit SUID/SGID puede eliminarse con, por ejemplo, chmod -s /usr/sbin/kppp. El ejecutable podrá iniciarse entonces por el usuario root cuando lo necesitemos.