Keine Speicherabbilder privilegierter Programme

Warum es wichtig ist

Wenn ein Programm mit zusätzlichen Rechten abstürzt, etwa sudo oder passwd, kann der Kernel dessen Speicher in eine Datei schreiben. Dieser Speicher kann Passwörter, Schlüssel oder Hashes enthalten, und eine Datei an einem lesbaren Ort übergibt sie jedem, der sie findet. Den Dump nicht zu schreiben stoppt dieses Leck.

Wie es funktioniert

Setzt fs.suid_dumpable auf 0, das herkömmliche Verhalten: Prozesse, die ihre Rechteebene gewechselt haben oder nur ausführbar sind, werden nicht gedumpt. Die anderen Modi (1 und 2) erlauben Dumps absichtlich zum Debuggen, wobei Modus 1 laut Kernel-Dokumentation unsicher ist.

Für wen es sich eignet

Gut für jede Maschine, auf der keine setuid-Programme debuggt werden. Entwickler, die einem Absturz in einem setuid-Werkzeug nachgehen, können es zeitweise einschalten.

Was Sie bemerken könnten

Im normalen Gebrauch nichts. Ein Absturz eines privilegierten Programms hinterlässt keine Core-Datei und keinen Bericht, was nur zählt, wenn Sie diesen Absturz untersuchen wollen.

Auf Ihrem Computer prüfen

Den aktuellen Wert lesen:

sysctl fs.suid_dumpable

Von Hand anwenden

Jetzt setzen (bis zum nächsten Neustart):

sudo sysctl -w fs.suid_dumpable=0

Nach Neustarts beibehalten, in einer eigenen Datei:

sudo tee /etc/sysctl.d/90-fs-suid-dumpable.conf <<'EOF'
fs.suid_dumpable = 0
EOF
sudo sysctl --system

Rückgängig machen

Entfernen Sie die Datei und starten Sie neu, oder setzen Sie den alten Wert mit sysctl -w zurück.

Verwandte Einstellungen

• Untersuchen eines Programms durch ein anderes begrenzen

Quellen

Linux Hardening Guide (madaidans)

2.2.3

Linux kernel documentation

fs.suid_dumpable