Hi Liste Habe ein merkwürdigen Vorgang auf meiner 10.2 festgestellt. Starte ich als Benutzer über das Menu Yast2, werde ich ganz normal zu Eingeben des Root-PW aufgefordert. Gebe ich das Root-PW ein, bekomme ich die Meldung, es wäre falsch und ich soll es nochmal probieren. Habe ich mehrfach probiert. Nix. auf der Konsole funktioniert das PW bei su ohne Probleme. Jetzt hab ich mal zum Spaß das user-PW eingegeben und siehe da, es geht. Das sollte wohl so nicht sein. Ich hab überlegt, was ich gemacht habe, denn vorher funktionierte es so. Update von KDE. Kdesu steckt in kdebase3 und kdelibs3. Downgrade gemacht. Ergebnislos. Ich hab auch eine sudoers angelegt. Vieleicht liegt es an der. Probiere ich noch aus. Sudoers löschen und dann mal sehen, bloß das ist doch wohl ein bug, oder? Die sudoers sieht so aus: # sudoers file. # # This file MUST be edited with the 'visudo' command as root. # # See the sudoers man page for the details on how to write a sudoers file. # # Host alias specification # User alias specification # Cmnd alias specification # Defaults specification # prevent environment variables from influencing programs in an # unexpected or harmful way (CVE-2005-2959, CVE-2005-4158, # CVE-2006-0151) Defaults always_set_home Defaults env_reset bodo ALL = ALL # Runas alias specification # User privilege specification root ALL = (ALL) ALL Irgendwas verdächtiges? Kennt noch jemand dieses Verhalten? Tips? Gruß Bodo -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Hallo Bodo,
Habe ein merkwürdigen Vorgang auf meiner 10.2 festgestellt. Starte ich als Benutzer über das Menu Yast2, werde ich ganz normal zu Eingeben des Root-PW aufgefordert. Gebe ich das Root-PW ein, bekomme ich die Meldung, es wäre falsch und ich soll es nochmal probieren. Habe ich mehrfach probiert. Nix. auf der Konsole funktioniert das PW bei su ohne Probleme.
Jetzt hab ich mal zum Spaß das user-PW eingegeben und siehe da, es geht. Das sollte wohl so nicht sein.
..........................................
Ich hab auch eine sudoers angelegt. Vieleicht liegt es an der. Probiere ich noch aus. Sudoers löschen und dann mal sehen, bloß das ist doch wohl ein bug, oder?
Ist das nicht das normale Verhalten wenn man in sudoers User anlegt? Die User müssen sich dann mit ihrem eigenen PW authentifizieren und dann wird der Prozess automatisch "als root" ausgeführt? Ich sehe das Verhalten eigentlich als ok an. Gruß Rainer -- Der GMX SmartSurfer hilft bis zu 70% Ihrer Onlinekosten zu sparen! Ideal für Modem und ISDN: http://www.gmx.net/de/go/smartsurfer -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Hallo Rainer Am Dienstag, 19. Dezember 2006 14:08 schrieb Rainer Kulhanek:
Ist das nicht das normale Verhalten wenn man in sudoers User anlegt? Die User müssen sich dann mit ihrem eigenen PW authentifizieren und dann wird der Prozess automatisch "als root" ausgeführt?
Auf der Konsole ein sudo xy wär das völlig ok. Bloß wenn ich aus dem Menu Yast-kontrollzentrum aufrufe und er dann explizit nach dem root-PW fragt ist das mMn. nicht ok. Mindestens seit der 8.2 hab ich eine sudoers und da ist mir das noch nie so passiert. Konsol sudo = user-pw grafische Abfrage von KDESU bei z.B. Yast = root-pw Im KDE-Kontrollzentrum (Systemverwaltungsmodus) nimmt er auch nicht das root-pw an. Ich meine das wäre so nicht richtig. In der man zu kdesu steht drin: -u benutzer Obwohl KDE su meistens dazu verwendet wird einen Befehl als Systemverwalter auszuführen, können Sie jeden Benutzer mit dem entsprechenden Passwort angeben. Yast wird mit dem Befehl: kdesu -u root -c /sbin/YaST2 aufgerufen. Demzufolge müßte ich das PW des Benutzers root eingeben und nicht des users. Zumindestens versteh ich so die manpage. Gruß Bodo -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
2006/12/19, Bodo Wlaka
Vieleicht liegt es an der. Probiere ich noch aus. Sudoers löschen und dann mal sehen, bloß das ist doch wohl ein bug, oder?
Dumme Frage: Was hat kdesu mit sudo zu tun? Laut kdesu(1) benutzt es su, nicht sudo. Sonst wäre es ja kdesudo :-) Gruß Martin -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Hallo Martin Am Dienstag, 19. Dezember 2006 15:17 schrieb Martin Schröder:
2006/12/19, Bodo Wlaka
: Vieleicht liegt es an der. Probiere ich noch aus. Sudoers löschen und dann mal sehen, bloß das ist doch wohl ein bug, oder?
Dumme Frage: Was hat kdesu mit sudo zu tun? Laut kdesu(1) benutzt es su, nicht sudo. Sonst wäre es ja kdesudo :-)
Das ist mir klar, bloß hab ich versucht mich dran zu erinnern, was ich gemacht habe, da es zu anfangs mit dem root-pw ging. Ich kann es halt nicht auf ein einzelnes Paket eingrenzen. Diverse updates sind gekommen teils vom update_server, teils von software/opensuse KDE und KDE Backports. Außerdem hab ich halt eine sudoers mit Yast angelegt. Auf der Konsole geht su und sux mit dem root-pw. sudo mit dem user-pw nur bei kdesu stimmt was nicht. Hab auch mal kdesu auf der Konsole probiert, auch da das user-pw obwohl das root-pw verlangt wird. Ist dann wohl ein bug, oder? Gruß Bodo -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Bodo Wlaka schrieb:
Hallo Martin
Am Dienstag, 19. Dezember 2006 15:17 schrieb Martin Schröder:
2006/12/19, Bodo Wlaka
: Vieleicht liegt es an der. Probiere ich noch aus. Sudoers löschen und dann mal sehen, bloß das ist doch wohl ein bug, oder? Dumme Frage: Was hat kdesu mit sudo zu tun? Laut kdesu(1) benutzt es su, nicht sudo. Sonst wäre es ja kdesudo :-)
Das ist mir klar, bloß hab ich versucht mich dran zu erinnern, was ich gemacht habe, da es zu anfangs mit dem root-pw ging. Ich kann es halt nicht auf ein einzelnes Paket eingrenzen.
Diverse updates sind gekommen teils vom update_server, teils von software/opensuse KDE und KDE Backports. Außerdem hab ich halt eine sudoers mit Yast angelegt.
Auf der Konsole geht su und sux mit dem root-pw. sudo mit dem user-pw nur bei kdesu stimmt was nicht. Hab auch mal kdesu auf der Konsole probiert, auch da das user-pw obwohl das root-pw verlangt wird.
Ist dann wohl ein bug, oder?
Gruß Bodo
Hallo, scheint wirklich ein Bug zu sein! Siehe: https://bugzilla.novell.com/show_bug.cgi?id=223719 Yast entfernt aus /etc/sudoers den Eintrag: Defaults targetpw # ask for the password of the target user i.e. root der sonst standardmässig vorhanden sind! Ohne den scheint kdesu nicht wie gewohnt zu funktionieren, seltsam! Ich habe den Eintrag belassen und sudoers ohne Yast dann editiert, dann funktioniert auch kdesu wie gehabt! Grüsse, Thomas Steinke -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Hallo Thomas Am Dienstag, 19. Dezember 2006 17:26 schrieb Thomas Steinke:
scheint wirklich ein Bug zu sein!
Siehe: https://bugzilla.novell.com/show_bug.cgi?id=223719
Yast entfernt aus /etc/sudoers den Eintrag:
Defaults targetpw # ask for the password of the target user i.e. root
der sonst standardmässig vorhanden sind! Ohne den scheint kdesu nicht wie gewohnt zu funktionieren, seltsam!
Ich habe den Eintrag belassen und sudoers ohne Yast dann editiert, dann funktioniert auch kdesu wie gehabt!
Hab ich auch gemacht. Nur so wie vorher ist es immer noch nicht. es wird zwar das root-pw angenommen, nachdem ich den Eintrag hinzugefügt habe, bloß wird auch das user-pw angenommen. Gruß Bodo -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Bodo Wlaka schrieb:
Hallo Thomas
Am Dienstag, 19. Dezember 2006 17:26 schrieb Thomas Steinke:
scheint wirklich ein Bug zu sein!
Siehe: https://bugzilla.novell.com/show_bug.cgi?id=223719
Yast entfernt aus /etc/sudoers den Eintrag:
Defaults targetpw # ask for the password of the target user i.e. root
der sonst standardmässig vorhanden sind! Ohne den scheint kdesu nicht wie gewohnt zu funktionieren, seltsam!
Ich habe den Eintrag belassen und sudoers ohne Yast dann editiert, dann funktioniert auch kdesu wie gehabt!
Hab ich auch gemacht. Nur so wie vorher ist es immer noch nicht. es wird zwar das root-pw angenommen, nachdem ich den Eintrag hinzugefügt habe, bloß wird auch das user-pw angenommen.
Gruß Bodo
Hallo Bodo, meine Erfolgsmeldung war wohl verfrüht. Bei mir wurde dann auch noch das User-PW angenommen. Allerdings funktioniert bei mir jetzt folgendes: Erstelle die Datei: ~/.kde/share/config/kdesurc mit diesen zwei Zeilen als Inhalt: [super-user-command] super-user-command=su Dadurch wird wohl bewirkt das su und nicht sudo von kdesu wieder verwendet wird. Danach war das Problem bei mir verschwunden! Eine Sicherheitslücke ist kdesu mit dieser Eigenschaft weiterhin! Da kann man nur auf ein Update hoffen. Grüsse Thomas Steinke -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Am 19.12.2006 23:23 schrieb Thomas Steinke:
Eine Sicherheitslücke ist kdesu mit dieser Eigenschaft weiterhin! Da kann man nur auf ein Update hoffen.
Wenn ich das richtig mitbekommen habe (so nebenbei gelesen) dann ist das so gewollt, dass kdesu jetzt auch mit sudo funktioniert. Und wenn du sudo für die User einrichtest, dann würde ich das nicht als Sicherheitslücke bezeichnen, was kdesu dann macht. Wobei: Welches Passwort verlangt sudo denn auf der Konsole? root oder user? OJ -- Das Recht auf Dummheit gehört zur Garantie der freien Entfaltung der Persönlichkeit. (Samuel Longhorne Clemens ["Mark Twain"], am. Schriftsteller, 1835-1910)
Am Dienstag, 19. Dezember 2006 23:23 schrieb Thomas Steinke:
(...). Dadurch wird wohl bewirkt das su und nicht sudo von kdesu wieder verwendet wird. Danach war das Problem bei mir verschwunden! Eine Sicherheitslücke ist kdesu mit dieser Eigenschaft weiterhin! Da kann man nur auf ein Update hoffen.
Irgendwie sehe ich das Problem immer noch nicht. kdesu läuft doch bestimmt nicht suid-root. Daher kann es dem Nutzer doch nicht mehr Rechte geben, als dieser nicht sowieso schon vom System her hat. Und wenn der Nutzer eben per sudo mit seinem eigenen Paßwort alles machen darf, dann wäre es doch nur "snake oil", wenn kdesu so täte als könne er es nicht. Kurz gesagt, das ist meiner Meinung nach alles kein Problem von kdesu. Gruß Jan -- By perseverance, the snail reached the ark. -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
participants (6)
-
Bodo Wlaka
-
Jan Ritzerfeld
-
Johannes Kastl
-
Martin Schröder
-
Rainer Kulhanek
-
Thomas Steinke