Jak korzystać z aplikacji $ ORIGIN i suid?

Question

Używam Pythona z włączoną opcją CAP CAPETERAW. Mój skrypt python importuje wspólną bibliotekę, która ma $ ORIGIN w swojej RPATH. Ponieważ mój python jest teraz aplikacją suid, $ ORIGIN nie jest oceniany, a biblioteka nie ładuje się poprawnie (jest to spowodowane security leak found in glibc). Czy istnieje sposób, aby powiedzieć linkerowi, że moja ścieżka biblioteki jest bezpieczna i mimo to załadować bibliotekę?

Jeszcze kilka uwag:

1. Muszę tylko tę funkcję w fazie rozwojowej. Nie szukam rozwiązania do produkcji.
2. Podczas pracy jako root wszystko działa.
3. Nie chcę pracować jako root.

Dzięki Dave

Answer 1

Próbowałaś sudo?

Zamiast $ ORIGIN, używaj stałych ścieżek podczas programowania, ponieważ będą one działać w programach setuid. Nie zmieniaj głównego procesu budowania, wystarczy użyć patchelf, aby ustawić ścieżkę do tego, czego potrzebujesz. Można zrobić skrypt, który robi coś takiego:

ln=`readelf -d |grep RPATH` 
IFS=: 
set -- $ln 
newrpath=`echo $2 |sed 's/\$ORIGIN/\/devel\/myprog\/lib/'` 
patchelf --set-rpath newrpath myprogram 

Następnie plik binarny nie będą już szukać $ ORIGIN /../ lib ale /devel/myprog/lib/../lib

Answer 2

Można spróbuj jednego z nich. Należy wziąć pod uwagę, że <path-to-mylib> jest bezwzględną ścieżką po rozwiązaniu referencji rpath dla $ORIGIN.

1. Ponownie uruchom ldconfig po informując go, gdzie znaleźć biblioteki

   $ echo "<path-to-mylib>" > /etc/ld.so.conf.d/my-new-library.conf 
   $ ldconfig -v 
   

2. Jeśli uruchomiony rzeczy jak korzeń nie jest opcją, LD_LIBRARY_PATH eksport z odpowiednim katalogu na każdą realizacją procesu

   $ echo "export LD_LIBRARY_PATH=<path-to-mylib>" >> ~/.bashrc 
   $ export LD_LIBRARY_PATH=<path-to-mylib> 
   $ # then run your stuff...