A.9 Temporäre Dateien
Die Sicherheitslücke der temporären Dateien sind neben dem Buffer Overflow eine gerne gemachte Einladung für den Einbrecher. Temporäre Dateien werden gewöhnlich in einem öffentlichen beschreibbaren Verzeichnis erzeugt (meistens /tmp). Damit nicht jeder diese Datei im temporären Verzeichnis löschen kann, wird für alle User das Filesystemflag (t) gesetzt (chmod +t /tmp). Damit ist es nur dem Besitzer einer Datei gestattet, seine Datei aus dem Verzeichnis zu löschen. Leider werden Unterverzeichnisse in /tmp nicht vom Setzen dieses Filesystemflags berücksichtigt – was bedeutet, dass dieses Flag extra für jedes Verzeichnis gesetzt werden muss (Unterverzeichnisse haben aber meistens rwxr-xr-x, was entwarnend ist)! Dies ist ein häufig vernachlässigter Fehler, womit ein unerlaubtes Löschen von Daten möglich wird.
Ein weiteres Problem mit den temporären Dateien ist die Verwendung von nicht-atomaren oder unsicheren Funktionen zur Erstellung von temporären Dateien wie tmpnam() oder tmpfile(). Außer der Tatsache, dass beide Funktionen nicht-atomar sind, folgen beide Funktionen auch symbolischen Links!
Bei tmpnam() (und auch mktemp()) kommt noch hinzu, dass zwischen der Erzeugung und dem Öffnen der Datei mittels open() wieder ein Zeitpuffer vorhanden ist. In diesem Zeitabschnitt ist es wieder möglich, einen Link mit demselben Namen zu erzeugen, so dass open() diesem Link folgt, was eine Race Condition zur Folge haben kann. tmpnam() oder mktemp() garantieren zwar, während der Erzeugung für einen eindeutigen temporären Namen, aber zwischen der Zeit der Erzeugung des Namens und dem Öffnen dieser Datei kann allerhand Schabernack betrieben werden.
Letztendlich bleibt einem dann nichts anderes übrig, als die Verwendung der Funktion open() mit den richtigen Parametern:
if((tmp = tmpnam(NULL)) == NULL)
exit(EXIT_FAILURE);
/* Ein weiteres sinnvolles Flag währe O_NOFOLLOW */
if((fd = open(tmp, O_RDWR|O_CREAT|O_EXCL, 0600)) < 0) {
perror("Fehler bei open");
exit(EXIT_FAILURE);
}
/* Hier steht der Filedeskriptor für die weitere Benutzung */
/* zur Verfügung */
|
