Почему плохо иметь root-файлы для записи в каталог, не принадлежащий root?

Это появилось в комментарии к другому вопросу, и я был бы рад, если бы кто-то мог объяснить мне причины этого.

Я предложил, чтобы Apache регистрировал ошибки для данного VHost в домашнем каталоге пользователя. Это было сбито, потому что это было небезопасно. Зачем?

Я попросил разъяснений в ответном комментарии, но все, что я получил, было то, что небезопасно иметь записи root в папке, не принадлежащей root. Опять же, кто-нибудь может объяснить?

Благодарность,

Барт.

Поскольку пользователь зло может злонамеренно попытаться указать файл записывает в другое место . Это не так просто, но реально возможно.root

Например, если пользователь найдет способ сделать символическую ссылку из предполагаемого журнала Apache, скажем, в / etc / shadow, вы внезапно получите непригодную систему. Apache ( root) перезапишет учетные данные ваших пользователей, что сделает систему неисправной.

ln -s /etc/shadow /home/eviluser/access.log

Если файл access.log недоступен для записи пользователем, может быть трудно его взломать, но лучше избегать такой возможности!

Можно было бы использовать logrotate для выполнения работы , создавая ссылку на файл, который еще не существует, но этот logrotate перезапишет, как только журналы будут расти:

ln -s /etc/shadow /home/eviluser/access.log.1

Примечание :

Символический метод только один из возможных атак, учитывая , как доказательство концепции.

Безопасность должна делаться с умом из Белого списка , а не из черного списка того, что, как мы знаем, является проблемой.

Хороший принцип отсутствия записи процессов в каталог, которому они не владеют или которому они не доверяют. Но в этом конкретном случае разумно полагать, что код Apache открывает журнал с помощью O_NOFOLLOWetc: вход в домашний каталог пользователя является обычной установкой.