バイナリのSUIDビットは依然として「許可拒否」エラーを生成します。

Question 1

最後まで読んだマニュアルページこのsystem機能の説明を提供する次の段落が見つかりました。

Do not use system() from a program with set-user-ID or set-group-ID
privileges, because strange values for some environment variables
might be used to subvert system integrity.  Use the exec(3) family of
functions instead, but not execlp(3) or execvp(3).  system() will
not, in fact, work properly from programs with set-user-ID or set-
group-ID privileges on systems on which /bin/sh is bash version 2,
since bash 2 drops privileges on startup.  (Debian uses a modified
bash which does not do this when invoked as sh.)

この段落を読んでいる間に読んだ他のStackExchange投稿は次のとおりです。

子孫のために、そして与えられた例は、この問題や他の状況で同様の問題を診断するのに役立ちますので、元の例を以下に残しました。

バグが発生した可能性がありますか？ Debian 9およびgcc 6.3を実行しているDockerコンテナで問題を再現することはできません。あなたの投稿に記載されているシーンを再現する方法は次のとおりです。

まず、ユーザー「alice」と「bob」を作成し、「staff」グループに追加します。

useradd -m -G staff alice
useradd -m -G staff bob

次に、ファイルを作成し、所有権と権限を設定します。

# Create a subdirectory to hold the text file
sudo -u alice mkdir -p /home/alice/share/

# Create the text file
sudo -u alice bash -c 'echo "This is foo.txt" > /home/alice/share/foo.txt'

# Set restrictive permissions on the text file
chmod u=rw,g=,o= /home/alice/share/foo.txt

結果を確認しましょう。

$ ls -l /home/alice/share/foo.txt
-rw------- 1 alice alice 16 Nov  4 15:33 /home/alice/share/foo.txt

display-fooそれでは、この機能を使用するバージョンを作成しましょうsystem。

$ cat <<HEREDOC > /usr/local/src/display-foo.c
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <sys/types.h>
#include <pwd.h>

int main(int argc, char **argv) {

    struct passwd *r_pwd = getpwuid(getuid());
    printf("Real user: %s\n", r_pwd->pw_name);

    struct passwd *e_pwd = getpwuid(geteuid());
    printf("Effective user: %s\n", e_pwd->pw_name);

    system("/bin/cat /home/alice/share/foo.txt");
}
HEREDOC

$ gcc /usr/local/src/display-foo.c -o /usr/local/bin/display-foo

display-foosetuidビット設定を含む所有権と権限を設定しましょう。

chown alice:alice /usr/local/bin/display-foo
chmod u=rwx,g=rx,o=rx /usr/local/bin/display-foo
chmod u+s /usr/local/bin/display-foo

結果も確認してみましょう。

$ ls -l /usr/local/bin/display-foo
-rwsr-xr-x 1 alice alice 8640 Nov  4 15:40 /usr/local/bin/display-foo

alice今、私たちは次のようにプログラムを実行しますbob。

$ sudo -u alice display-foo

Real user: alice
Effective user: alice
This is foo.txt

$ sudo -u bob display-foo

Real user: bob
Effective user: alice
This is foo.txt

ご覧のとおり、すべてが期待どおりに機能しているようです。

Answer