병뚜껑 교체

Question

매뉴얼에서:

       P'(ambient)     = (file is privileged) ? 0 : P(ambient)

프로세스가 상위 프로세스로부터 권한을 얻는 것이 가능합니다.

       P'(permitted)   = (P(inheritable) & F(inheritable)) |
                         (F(permitted) & cap_bset) | P'(ambient)

상속 가능한 집합에 이러한 권한이 있거나 cap_bset에 이러한 권한이 있는 경우 프로세스가 파일에서 권한을 얻을 수 있습니다.

       P'(effective)   = F(effective) ? P'(permitted) : P'(ambient)

       P'(inheritable) = P(inheritable)    [i.e., unchanged]

부모로부터 상속 세트를 가져옵니다.

   where:

       P         denotes the value of a thread capability set before the
                 execve(2)

       P'        denotes the value of a thread capability set after the
                 execve(2)

       F         denotes a file capability set

       cap_bset  is the value of the capability bounding set (described
                 below).

   …

   Note that the bounding set masks the file permitted capabilities, but
   not the inheritable capabilities.  If a thread maintains a capability
   in its inheritable set that is not in its bounding set, then it can
   still gain that capability in its permitted set by executing a file
   that has the capability in its inheritable set.

inheritable컬렉션에서도 제거 해야 합니다.

따라서 루트 프로세스( )에서 권한을 제거합니다. init, 및 에서 권한을 제거합니다.cap_bsetinheritablepermittedeffective

Answer 1