이 glibc 문제를 해결하는 가장 좋은 방법은 무엇입니까?

/bin/ping저는 setuid-root 바이너리(예: CAP_NET_RAW 등) 의 필요성을 대부분 제거하기 위해 파일 기능을 사용하는 Gentoo Hardened 상자를 관리하고 있습니다 .

사실, 나에게 남은 유일한 바이너리는 이것입니다:

abraxas ~ # find / -xdev -type f -perm -u=s
/usr/lib64/misc/glibc/pt_chown
abraxas ~ # 

setuid 비트를 제거하거나 루트 파일 시스템을 다시 마운트하면 nosuidsshd 및 GNU Screen이 grantpt(3)마스터 의사 터미널을 호출하기 때문에 작동이 중지되고 glibc는 분명히 이 프로그램을 실행하여 슬레이브 의사 터미널을 chown 및 chmod하고 /dev/pts/GNU Screen은 이 경우를 처리합니다. 기능이 실패합니다.

문제는 맨페이지 grantpt(3)에 Linux에서는 파일 시스템을 마운트한 후 그러한 도우미 바이너리가 필요하지 않다고 명시되어 있다는 것 입니다 devpts. 커널은 자동으로 슬레이브의 UID 및 GID를 열린 프로세스의 실제 UID 및 GID로 설정합니다 /dev/ptmx(getpt(3) .

나는 이것을 보여주기 위해 작은 예제 프로그램을 작성했습니다:

#include <string.h>
#include <sys/types.h>
#include <sys/stat.h>
#include <stdlib.h>
#include <stdio.h>
#include <unistd.h>
int main(void)
{
    int master;
    char slave[16];
    struct stat slavestat;
    if ((master = getpt()) < 0) {
        fprintf(stderr, "getpt: %m\n");
        return 1;
    }
    printf("Opened a UNIX98 master terminal, fd = %d\n", master);
    /* I am not going to call grantpt() because I am trying to
     * demonstrate that it is not necessary with devpts mounted,
     * the owners and mode will be set automatically by the kernel.
     */
    if (unlockpt(master) < 0) {
        fprintf(stderr, "unlockpt: %m\n");
        return 2;
    }
    memset(slave, 0, sizeof(slave));
    if (ptsname_r(master, slave, sizeof(slave)) < 0) {
        fprintf(stderr, "ptsname: %m\n");
        return 2;
    }
    printf("Device name of slave pseudoterminal: %s\n", slave);
    if (stat(slave, &slavestat) < 0) {
        fprintf(stderr, "stat: %m\n");
        return 3;
    }
    printf("Information for device %s:\n", slave);
    printf("    Owner UID:  %d\n", slavestat.st_uid);
    printf("    Owner GID:  %d\n", slavestat.st_gid);
    printf("    Octal mode: %04o\n", slavestat.st_mode & 00007777);
    return 0;
}

위 프로그램에서 setuid 비트를 제거하고 해당 작동을 관찰합니다.

aaron@abraxas ~ $ id
uid=1000(aaron) gid=100(users) groups=100(users)
aaron@abraxas ~ $ ./ptytest 
Opened a UNIX98 master terminal, fd = 3
Device name of slave pseudoterminal: /dev/pts/17
Information for device /dev/pts/17:
    Owner UID:  1000
    Owner GID:  100
    Octal mode: 0620

이 문제를 해결하는 방법에 대한 몇 가지 아이디어가 있습니다.

1) 프로그램을 0만 반환하는 스켈레톤으로 교체합니다.

2) 내 libc에 grantpt()를 패치하여 아무것도 하지 않도록 했습니다.

두 가지 방법을 모두 자동화할 수 있지만 이러한 방법 중 하나에 대한 제안이나 이 문제를 해결하는 방법에 대한 제안이 있는 사람이 있습니까?

이 문제를 해결하고 나면 마침내 할 수 있게 되었습니다 mount -o remount,nosuid /.