0
오늘 승객 5.1.11로 업데이트되어 Apache 오류 로그를 볼 수 있습니다.Phusion Passenger가 루트로 실행되는 것을 어떻게 피할 수 있습니까?
나는이 항목 (이상 여러 번)을 발견/var/log/apache2/error.log에서
:
경고 : 잠재적 인 권한 상승 취약점입니다. 승객은 루트로 실행되는 이고 승객 루트 경로의 일부 (/home/jack/.rbenv/versions/2.2.2/lib/ruby/gems/2.2.0/gems/passenger-5.1.11) 루트가 아닌 사용자가 변경할 수 있습니다. "/home/jack/.rbenv/versions/2.2.2/lib/ruby/gems/2.2.0/gems/passenger-5.1.11"경로는 다음과 같이 지정할 수 있습니다. 사용자 "잭"(또는 사용자로 실행되는 응용 프로그램)에 의해 수정되었습니다. 경로의 소유자를 root로 변경하거나 Passenger를 root로 실행하지 마십시오.
저는 데비안 7을 실행 중이며 승객을 보석으로 설치했습니다. sudo를 사용하여 설치 명령을 실행하지 않았습니다.
승객이 루트로 실행되는 것을 어떻게 피할 수 있습니까? 나는 지난 2 시간 동안 이것을 보냈지 만 빈 손으로 올라왔다.
안타깝게도 위에서 언급 한 경로의 모든 디렉토리에 대해 동일한 홈 디렉토리에 이르기까지 동일한 경고가 표시됩니다. 내 홈 디렉토리의 소유자를 변경하면 PITA가됩니다. 이 경고는 얼마나 심각한가? 잠재적으로 무시 당할 수 있습니까? 아니면 연기해야합니까? –
얼마나 심각한지는 서버에 달려 있습니다. 하나의 앱만 있고 사용자 승객이 언급 한 경로를 수정할 권한이 없으므로 앱을 실행하면 확인해야합니다. 문제는 사용자 또는 데몬이 권한 승격을 달성 할 수있을 때 해당 경로를 수정할 수있는 권한이있는 경우입니다. –
알았어, 고마워. 내가 이걸 고쳐야 할 것 같아. –