Почему «AcceptEnv *» считается небезопасным?

В /etc/ssh/sshd_config, есть опция, AcceptEnvкоторая позволяет клиенту ssh отправлять переменные окружения. Мне нужно иметь возможность отправлять большое количество переменных среды. Они изменяются при каждом подключении от клиента, поэтому будет сложнее поместить их в сценарий входа на сервер.

Я читал, что "AcceptEnv *"это небезопасно. Я хотел бы понять, почему, прежде чем я попытаюсь получить список всех переменных среды, которые пытаются установить там.

Почему это считается небезопасным? Могу ли я получить пример?

— TheDauthi
источник

Ответы:

Включение обработки среды может позволить пользователям обойти ограничения доступа в некоторых конфигурациях, используя такие механизмы, как LD_PRELOAD.

Не все версии справочных страниц для sshd_config упоминают об этом. Если переменные среды предварительно изменены и определенные привилегированные процессы выполняются с новыми библиотеками, указанными в этом, могут возникнуть проблемы.

Взгляните на http://www.dankalia.com/tutor/01005/0100501004.htm и найдите «LD_PRELOAD Exploit». Извините, на странице нет якорных ссылок.

Смотрите также этот вопрос StackOverflow: « Что такое трюк LD_PRELOAD? »

Устанавливать переменные среды после подключения - это хорошо, но когда эти переменные интерпретируются демоном ssh, как установлено AcceptEnv, могут возникнуть плохие вещи.

— Джефф Ферланд
источник

Чем он отличается от того, когда они устанавливают переменные вручную после входа в систему?

— Джозеф Гарвин

@JosephGarvin, некоторые системы имеют ограниченные оболочки или допускают только одну конкретную команду, так что «они» не могут . Таким образом, проблема заключается в том, чтобы обеспечить средства, с помощью которых можно обойти такие меры безопасности.

— Чарльз Даффи

Не принимайте переменные среды:

Посмотрите эксплойт Shellshock, который вышел недавно ... если вы принимаете переменные окружения, вы открываете действительно неприятный эксплойт.

— Джон Хант
источник

Вы распространяете страх ИМО. Если вас это беспокоит, почему у них есть доступ по SSH? И, кстати, вы не можете помешать им устанавливать переменные окружения, когда они находятся в оболочке или даже в функциях. Этот эксплойт касается несанкционированного доступа к оболочке через такие вещи, как nginx, а не авторизованного доступа к оболочке.

— Джордон Бедвелл

В любом случае вы принимаете хотя бы один env. переменная с именем TERM. Может существовать необходимость принимать другие переменные, такие как PRINTER, EDITOR, PAGER, ...

— ibre5041

@JordonBedwell, не каждое соединение SSH будет разрешено для оболочки доступа. У меня есть несколько систем, в которых есть учетные записи, для которых единственная аутентификация - с ключом SSH, который позволял выполнять только одну конкретную команду (с идентификацией владельца этого ключа и другими запеченными данными).

— Чарльз Даффи

... тем не менее, я согласен, что по состоянию на 2017 год ShellShock очень сильно раздут. При текущей реализации, порождая экспортированной функции не требует контроля не только над переменной окружающей среды в значении , но и его имя (и процесс оценки экспортированных функций при запуске оболочки уже само по себе не склонны к атакам нагнетательных).

— Чарльз Даффи