home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #30 / NN_1992_30.iso / spool / comp / sys / sun / admin / 9368 < prev    next >
Encoding:
Text File  |  1992-12-12  |  1.6 KB  |  34 lines
  1. Newsgroups: comp.sys.sun.admin
  2. Path: sparky!uunet!zaphod.mps.ohio-state.edu!rpi!ghost.dsi.unimi.it!sisifo.arcetri.astro.it!sisifo!lfini
  3. From: lfini@sisifo (Luca Fini)
  4. Subject: Re: mounting CD by normal user. Alternatives to suid shell script
  5. Message-ID: <1992Dec12.134151.20481@arcetri.astro.it>
  6. Sender: news@arcetri.astro.it
  7. Organization: Osservatorio di Arcetri
  8. X-Newsreader: TIN [version 1.1 PL6]
  9. References: <1992Dec11.211807.29122@u.washington.edu>
  10. Date: Sat, 12 Dec 1992 13:41:51 GMT
  11. Lines: 21
  12.  
  13. axel schweiger (axel@apl.Washington.EDU) wrote:
  14. : Can anyone explain to me why suid shell scripts are such a security
  15. : risk and if so how do people accomplish mounting cds and M/O drives
  16. : by non-super users. Has anyone dealt with that ?
  17. : 
  18.  
  19. Because it is pretty easy to foolish the shell executing the script
  20. to provide an interactive shell (with root privileges) to the caller 
  21. of the script (how to do that is reported in the 'alt.security' FAQ).
  22.  
  23. Security manuals suggest either to use compiled binaries to make the same
  24. job of scripts or to use 'perl' as a script language. Wether that's
  25. is always feasible, I actually don't know.
  26.  
  27. +------------------------------------------------------------------------+
  28. | Luca Fini                                                              |
  29. | Osservatorio Astrofisico di Arcetri     Tel.   +55 2752 253            |
  30. | L.go E.Fermi, 5                         Fax.:  +55 220039              |
  31. | 50125 Firenze                           e-mail: lfini@arcetri.astro.it |
  32. | Italia                                                                 |
  33. +------------------------------------------------------------------------+
  34.