ケイパビリティ - 版の履歴

Kusanaginoturugi: /* 参照 */ update TranslationStatus.

2024-08-21T09:44:59Z

参照: update TranslationStatus.

← 古い版		2024年8月21日 (水) 18:44時点における版
104行目:		104行目:
	* [https://docs.kernel.org/userspace-api/seccomp_filter.html Seccomp BPF (SECure COMPuting with filters)]		* [https://docs.kernel.org/userspace-api/seccomp_filter.html Seccomp BPF (SECure COMPuting with filters)]

	{{TranslationStatus\|Capabilities\|~~2023~~-05-11\|~~760131~~}}		{{TranslationStatus\|Capabilities\|2024-08-21\|808245}}

Kusanaginoturugi: /* ケイパビリティを一時的に付与してプログラムを実行する */ 更新

2024-08-21T09:44:21Z

ケイパビリティを一時的に付与してプログラムを実行する: 更新

← 古い版		2024年8月21日 (水) 18:44時点における版
91行目:		91行目:
	$ sudo -E capsh --caps="cap_setpcap,cap_setuid,cap_setgid+ep cap_net_bind_service+eip" --keep=1 --user="$USER" --addamb="cap_net_bind_service" --shell=/usr/bin/nc -- -lvtn 123		$ sudo -E capsh --caps="cap_setpcap,cap_setuid,cap_setgid+ep cap_net_bind_service+eip" --keep=1 --user="$USER" --addamb="cap_net_bind_service" --shell=/usr/bin/nc -- -lvtn 123
	Listening on 0.0.0.0 123		Listening on 0.0.0.0 123

			上記の例はどちらも実際には説明目的のものであり、ほとんどのシステムでは、他のユーザーが所有するプロセスにデバッガーをアタッチするか、root ユーザーとしてポート 1024 未満を開くことが可能です。それでも、{{ic\|capsh}} を使用することはある程度のセキュリティメリットを提供します。なぜなら、{{ic\|capsh --user}} は指定されたユーザーとして、通常のカーネルケイパビリティ（つまり、制限）を持って実行されるためです。

			== systemd ==

			{{ic\|AmbientCapabilities}} と {{ic\|CapabilityBoundingSet}} を使用することで、systemd ユニットにケイパビリティを割り当てることが可能です。これは、バイナリにケイパビリティを設定するよりも安全です。詳細は {{man\|5\|systemd.exec}} を参照してください。

	== 参照 ==		== 参照 ==

Kusanaginoturugi: /* ケイパビリティを一時的に付与してプログラムを実行する */ update.

2024-08-21T09:43:05Z

ケイパビリティを一時的に付与してプログラムを実行する: update.

← 古い版		2024年8月21日 (水) 18:43時点における版
85行目:		85行目:
	$ sudo -E capsh --caps="cap_setpcap,cap_setuid,cap_setgid+ep cap_sys_ptrace+eip" --keep=1 --user="$USER" --addamb="cap_sys_ptrace" --shell=/usr/bin/gdb -- -p <pid>		$ sudo -E capsh --caps="cap_setpcap,cap_setuid,cap_setgid+ep cap_sys_ptrace+eip" --keep=1 --user="$USER" --addamb="cap_sys_ptrace" --shell=/usr/bin/gdb -- -p <pid>

			上記の {{ic\|sudo}} に渡される {{ic\|-E}} は、現在のユーザーのログイン環境、たとえば {{ic\|PATH}} 変数などを子プロセスに引き継ぐために使用されます。
⚫	[[netcat]] を使って低いポートにバインドする例:

		⚫	以下は、[[netcat]] を使用して低いポート、今回は 123 にバインドする例です：

	$ sudo -E capsh --caps="cap_setpcap,cap_setuid,cap_setgid+ep cap_net_bind_service+eip" --keep=1 --user="$USER" --addamb="cap_net_bind_service" --shell=/usr/bin/nc -- -lvtn 123		$ sudo -E capsh --caps="cap_setpcap,cap_setuid,cap_setgid+ep cap_net_bind_service+eip" --keep=1 --user="$USER" --addamb="cap_net_bind_service" --shell=/usr/bin/nc -- -lvtn 123

Kusanaginoturugi: /* ケイパビリティを一時的に付与してプログラムを実行する */ update.

2024-08-21T09:14:48Z

ケイパビリティを一時的に付与してプログラムを実行する: update.

← 古い版		2024年8月21日 (水) 18:14時点における版
81行目:		81行目:
	== ケイパビリティを一時的に付与してプログラムを実行する ==		== ケイパビリティを一時的に付与してプログラムを実行する ==

	{{man\|1\|capsh}} を使うと、バイナリの拡張属性を変更せずに、特定のケイパビリティを持~~たせて~~プログラムを実行することができます。		{{man\|1\|capsh}} を使用すると、バイナリの拡張属性を変更せずに、特定のケイパビリティを持つプログラムを実行することが可能です。以下の例では、{{ic\|CAP_SYS_PTRACE}} ケイパビリティを使用して [[GDB]] を使用してプロセスにアタッチする方法を示しています：
	以下の例では、{{ic\|CAP_SYS_PTRACE}} ケイパビリティを使って、[[GDB]] を使ってプロセスにアタッチする方法を示しています:

	$ sudo -E capsh --caps="cap_setpcap,cap_setuid,cap_setgid+ep cap_sys_ptrace+eip" --keep=1 --user="$USER" --addamb="cap_sys_ptrace" --shell=/usr/bin/gdb -- -p <pid>		$ sudo -E capsh --caps="cap_setpcap,cap_setuid,cap_setgid+ep cap_sys_ptrace+eip" --keep=1 --user="$USER" --addamb="cap_sys_ptrace" --shell=/usr/bin/gdb -- -p <pid>

Kusanaginoturugi: /* ケイパビリティを利用できる他のプログラム */ update.

2024-08-21T09:12:09Z

ケイパビリティを利用できる他のプログラム: update.

@@ 33行目: / 33行目: @@
 以下のパッケージには setuid 属性が設定されたファイルがありませんが、実行するには root 権限を必要とします。ケイパビリティを有効にすることで、権限昇格を行わなくても通常ユーザーでプログラムを使うことが可能になります。
-ケイパビリティの末尾の {{ic|+ep}} は "実効許可 (effective permitted)" を意味します。詳細は {{man|7|capabilities|File capabilities}} で見られます。
+ケイパビリティの後ろにある {{ic|+ep}} は、ケイパビリティセットの ''effective'' と ''permitted'' を示しています。詳細は {{man|7|capabilities|File capabilities}} を参照してください。
- # setcap cap_dac_read_search,cap_sys_tty_config+ep /usr/bin/chvt
+| [[Beep]] || {{ic|setcap cap_dac_override,cap_sys_tty_config+ep /usr/bin/beep}}
- # setcap cap_net_raw+ep /usr/bin/iftop
+| {{man|1|chvt}} || {{ic|setcap cap_dac_read_search,cap_sys_tty_config+ep /usr/bin/chvt}}
- # setcap cap_net_admin+ep /usr/bin/mii-tool
+| {{man|8|iftop}} || {{ic|setcap cap_net_raw+ep /usr/bin/iftop}}
- # setcap cap_net_raw+ep /usr/bin/mtr-packet
+| {{man|8|mii-tool}} || {{ic|setcap cap_net_admin+ep /usr/bin/mii-tool}}
- # setcap cap_net_admin,cap_net_raw+ep /usr/bin/nethogs
+| {{man|8|mtr}} || {{ic|setcap cap_net_raw+ep /usr/bin/mtr-packet}}
- # setcap cap_net_admin+ep /usr/bin/wavemon
+| {{man|8|nethogs}} || {{ic|setcap cap_net_admin,cap_net_raw+ep /usr/bin/nethogs}}
 == 便利なコマンド ==

Kusanaginoturugi: /* 管理とメンテナンス */ update.

2024-08-21T09:09:12Z

管理とメンテナンス: update.

← 古い版		2024年8月21日 (水) 18:09時点における版
25行目:		25行目:
	== 管理とメンテナンス ==		== 管理とメンテナンス ==

	パッケージが過度に強力なケイパビリティを持っている場合はバグと考えられます。なので、ここに記載するのではなくバグとして報告してください。Arch は [[セキュリティ#強制アクセス制御\|MAC/RBAC]] システムをサポートしていないため、root アクセスと本質的に等価なケイパビリティ ({{ic\|CAP_SYS_ADMIN}}) や root アクセスを容易にするケイパビリティ ({{ic\|CAP_DAC_OVERRIDE}}) はバグではありません。		パッケージが過度に強力なケイパビリティを持っている場合はバグと考えられます。なので、ここに記載するのではなくバグとして報告してください。Arch は [[セキュリティ#強制アクセス制御\|MAC]]/[[w:Role-based access control\|RBAC]] システムをサポートしていないため、root アクセスと本質的に等価なケイパビリティ ({{ic\|CAP_SYS_ADMIN}}) や root アクセスを容易にするケイパビリティ ({{ic\|CAP_DAC_OVERRIDE}}) はバグではありません。

	{{Warning\|1=特権昇格が可能になるケイパビリティは多数あります。詳しい例や説明は Brad Spengler による [https://forums.grsecurity.net/viewtopic.php?f=7&t=2522&sid=c6fbcf62fd5d3472562540a7e608ce4e#p10271 False Boundaries and Arbitrary Code Execution] を参照してください。}}		{{Warning\|1=特権昇格が可能になるケイパビリティは多数あります。詳しい例や説明は Brad Spengler による [https://forums.grsecurity.net/viewtopic.php?f=7&t=2522&sid=c6fbcf62fd5d3472562540a7e608ce4e#p10271 False Boundaries and Arbitrary Code Execution] を参照してください。}}

Kusanaginoturugi: /* 実装 */ 記事の更新

2024-08-21T09:06:15Z

実装: 記事の更新

← 古い版		2024年8月21日 (水) 18:06時点における版
19行目:		19行目:
	}}		}}

	~~{{ic\|cp -a}} を使うと~~拡張属性は自動的にコピーされますが、プログラム~~によって~~は特殊なフラグが必要~~な場合もありま~~す: ~~{{ic\|rsync -X}}~~。		一部のプログラムは拡張属性を自動的にコピーしますが、他のプログラムでは特別なフラグが必要です。両方のクラスの例については、[[拡張属性# 拡張属性を保持する]]を参照してください。

	Arch ではケイパビリティはパッケージのインストールスクリプトによって設定されます (例: ~~{{ic\|~~fping.install~~}})~~。		Arch では、ケイパビリティは [[PKGBUILD#インストール\|パッケージインストールスクリプト]] によって設定されます。例としては [https://gitlab.archlinux.org/archlinux/packaging/packages/fping/-/blob/main/fping.install fping.install] が挙げられます。

	== 管理とメンテナンス ==		== 管理とメンテナンス ==

Kusanaginoturugi: /* 実装 */ リンクを修正

2024-08-21T09:03:02Z

実装: リンクを修正

← 古い版		2024年8月21日 (水) 18:03時点における版
14行目:		14行目:
	}}		}}

	{{hc\|$ getfattr -d -m "^security\\." /usr/bin/fping\|2=		{{hc\|1=$ getfattr --dump --match="^security\\." /usr/bin/fping\|2=
	# file: usr/bin/fping		# file: usr/bin/fping
	security.capability=0sAQAAAgAgAAAAAAAAAAAAAAAAAAA=		security.capability=0sAQAAAgAgAAAAAAAAAAAAAAAAAAA=

Kusanaginoturugi: /* 実装 */ リンクを修正

2024-08-21T09:02:19Z

実装: リンクを修正

← 古い版		2024年8月21日 (水) 18:02時点における版
8行目:		8行目:
	== 実装 ==		== 実装 ==

	Linux ではケイパビリティは[[拡張属性]] ({{man\|7\|xattr}}) の ''security'' 名前空間を使って実装されています。拡張属性は Ext2、Ext3、Ext4、Btrfs、JFS、XFS、そして Reiserfs など全ての主要な Linux [[ファイルシステム]]でサポートされています。以下の例では {{ic\|getcap}} を使って fping のケイパビリティを出力し、さらに {{ic\|getfattr}} を使ってエンコードされた同じデータを出力しています:		Linux ではケイパビリティは[[拡張属性]] ({{man\|7\|xattr}}) の ''security'' 名前空間を使って実装されています。拡張属性は Ext2、[[Ext3]]、[[Ext4]]、[[Btrfs]]、[[JFS]]、[[XFS]]、そして Reiserfs など全ての主要な Linux [[ファイルシステム]]でサポートされています。以下の例では {{ic\|getcap}} を使って fping のケイパビリティを出力し、さらに {{ic\|getfattr}} を使ってエンコードされた同じデータを出力しています:

	{{hc\|$ getcap /usr/bin/fping\|2=		{{hc\|$ getcap /usr/bin/fping\|2=

AshMyzk: /* 管理とメンテナンス */ 修正

2023-05-11T12:00:54Z

管理とメンテナンス: 修正

← 古い版		2023年5月11日 (木) 21:00時点における版
27行目:		27行目:
	パッケージが過度に強力なケイパビリティを持っている場合はバグと考えられます。なので、ここに記載するのではなくバグとして報告してください。Arch は [[セキュリティ#強制アクセス制御\|MAC/RBAC]] システムをサポートしていないため、root アクセスと本質的に等価なケイパビリティ ({{ic\|CAP_SYS_ADMIN}}) や root アクセスを容易にするケイパビリティ ({{ic\|CAP_DAC_OVERRIDE}}) はバグではありません。		パッケージが過度に強力なケイパビリティを持っている場合はバグと考えられます。なので、ここに記載するのではなくバグとして報告してください。Arch は [[セキュリティ#強制アクセス制御\|MAC/RBAC]] システムをサポートしていないため、root アクセスと本質的に等価なケイパビリティ ({{ic\|CAP_SYS_ADMIN}}) や root アクセスを容易にするケイパビリティ ({{ic\|CAP_DAC_OVERRIDE}}) はバグではありません。

	{{Warning\|特権昇格が可能になるケイパビリティは多数あります。詳しい例や説明は Brad Spengler による [https://forums.grsecurity.net/viewtopic.php?f=7&t=2522&sid=c6fbcf62fd5d3472562540a7e608ce4e#p10271 False Boundaries and Arbitrary Code Execution] を参照してください。}}		{{Warning\|1=特権昇格が可能になるケイパビリティは多数あります。詳しい例や説明は Brad Spengler による [https://forums.grsecurity.net/viewtopic.php?f=7&t=2522&sid=c6fbcf62fd5d3472562540a7e608ce4e#p10271 False Boundaries and Arbitrary Code Execution] を参照してください。}}

	== ケイパビリティを利用できる他のプログラム ==		== ケイパビリティを利用できる他のプログラム ==