home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #16 / NN_1992_16.iso / spool / comp / security / misc / 770 < prev    next >
Encoding:
Internet Message Format  |  1992-07-22  |  1.6 KB
  1. Path: sparky!uunet!utcsri!dgp.toronto.edu!flaps
  2. Newsgroups: comp.security.misc
  3. From: flaps@dgp.toronto.edu (Alan J Rosenthal)
  4. Subject: Re: root-owned world-writable files
  5. Message-ID: <1992Jul22.153044.5242@jarvis.csri.toronto.edu>
  6. References: <62524@cup.portal.com> <1992Jul21.201056.662@newshost.lanl.gov> <14htt0INNiep@hilbert.math.ksu.edu>
  7. Date: 22 Jul 92 19:30:44 GMT
  8. Lines: 24
  9.  
  10. VESOFT@cup.portal.com (Michael D Hensley) writes:
  11. >Agree/disagree/discussion: Any root-owned world-writable file should be
  12. >considered a potential security loophole.
  13.  
  14. Strongly disagree.  The only difference between it being owned by root and
  15. owned by someone else (discounting quotas) is that if it's owned by root,
  16. someone else can't chmod or chown it.  This is an INCREASE in security.
  17. Especially in these days of NFS, where people can become anyone other than root
  18. with physical access to a workstation.  (Well, they can become root, but then
  19. they're "nobody" over NFS.)
  20.  
  21. You could argue that files shouldn't be world-writable, but I don't see how you
  22. can argue that given that a file is world-writable (but not set[ug]id), it's a
  23. danger to have it be owned by root rather than daemon or nobody or something.
  24.  
  25. tar@math.ksu.edu (Tim Ramsey) writes:
  26. >How do you get a complete list of files that are trusted by root, or by
  27. >programs that root trusts (that is, are setuid root)?
  28. >
  29. >Much easier to simply not have world-writable files owned by root.
  30.  
  31. Not having world-writable files owned by root has nothing to do with this.  If
  32. root or a setuid-root program trusts a world-writable file, the fact that it is
  33. owned by someone else doesn't help you.
  34.