Web Browser 로는 FTP 접속이 불가능 합니다.

문서번호 : 1059151776
업데이트 : 2003.07.26


상세내용

autoupdates 1.1.2 까지는 내제된 보안 버그가 숨어있다.
autoupdates 1.1.2 까지는 AnNyung Mirror 서버에서 updatelist 를 다운
받아 파싱을 하여 update 를 진행을 하는 과정에서 Mirror Server 의 관
리자나 크래커에 의해여 변조된 패키지가 설치 및 시작될 수 있다.

또한, 서버 관리자나 크래커에 의하여 updatelist 를 변조함으로서 시스
템 명령을 실행할 수 있는 버그가 존재한다. 예를 들어 rm -rf / 를 실행
할 수 있다.

이 버그는 설치만 되어 있을 경우에는 문제가 없으며, 실행을 하였을 경우
updatelist 가 존재하는 서버의 관리자나 해당 서버가 크래킹 당하고, 이
파일이 변조되어 시스템에 치명적인 공격을 할 수 있는 시스템 명령을 등
록해 놓았을 경우에만 가능하다.

이를 방지 하기 위하여, 다운된 rpm package 의 AnNyung GPG Key 를 비교
하게 되었으며, 아주 제한된 시스템 명령만 실행을 하도록 하였다.

데몬들의 경우에는 /etc/init.d/ 에 있는 init 파일만이 실행이 되며,
간혹, 패키지명rpm(예를 들어 apache 패키지의 경우 apacherpm) 이라는 파
일을 실행할 수 있다.

apacherpm 과 같은 시스템 실행 파일은 각 패키지에 속해 있으며, (현재로
는 데몬에만 들어갈 예정이다.) /usr/share/autoupdate/ 에 설치가 된다.

이 제한된 명령도 믿지를 못하겠다면, autoupdates.conf 에

execute = off

설정을 해 놓기를 바란다. 업데이트시에 기본값으로 적용이 되게 패키징이
되어 있기는 하지만 확인하도록 한다.

만약, 사용하기를 원할 경우에도 확인을 하여 값을 on 으로 수정을 해 줘야
한다.


update 패키지

  RPMS :

    . autoupdates-1.2.1-1,7.noarch.rpm

  SRPMS :

    . autoupdates-1.2.1-1,7.src.rpm

참고 : 없음