На возможность запуска сценариев и исполняемых файлов, расположенных в файловых системах, примонтированных с помощью FUSE влияют:
- разрешение установки бита исполнения;
- значение параметра ядра parsec.enable_exec_on_fuse (доступен начиная с версии 4.15.3-1.astra25 пакета linux-astra-modules).
| Предупреждение |
|---|
Указанные выше разрешения небезопасны, так как предоставляют возможность запуска файлов, компрометирующих систему. |
При этом:
- Запрет установки бита исполнения по умолчанию отключен.
- Для сохранения работоспособности некоторых программ запуск сценариев и исполняемых файлов, расположенных в файловых системах
- ,
- примонтированных с помощью FUSE по умолчанию разрешен.
- При включении запрета установки бита исполнения для предотвращения обхода этого запрета запрещается также запуск исполняемых файлов,
- расположенных в файловых системах, примонтированных с помощью FUSE.
Чтобы при включенном запрете установки бита исполнения разрешить запуск исполняемых файлов, расположенных в файловых системах, примонтированных с помощью FUSE необходимо присвоить параметру ядра parsec.enable_exec_on_fuse значение 1.
| Информация | ||
|---|---|---|
| ||
|
В пакет linux-astra-modules начиная с версии 4.15.3-1.astra25 добавлен параметр Для изменения значения параметра ядра parsec.enable_exec_on_fuse, управляющий возможностью запуска сценариев и исполняемых файлов из ФС, смонтированных с помощью FUSE.
| Информация |
|---|
| Разрешение запуска с помощью параметра parsec.enable_exec_on_fuse не работает при включенном запрете установки бита исполнения. При разрешении запуска файлов по возможности следует ограничить типы запускаемых файлов, включив блокировку интерпретаторов. |
Значение этого параметра по умолчанию равно нулю, то есть запуск сценариев и исполняемых файлов из ФС, смонтированных с помощью FUSE, по умолчанию ЗАПРЕЩЕН.
:
- В файле
- /etc/default/grub изменить строку параметров ядра,
- загружаемого по умолчанию, указав в ней нужное значение
- , например, значение 1 для разрешения запуска сценариев и исполняемых файлов, расположенных в файловых системах, примонтированных с помощью FUSE:
Блок кода GRUB_CMDLINE_LINUX_DEFAULT="parsec.max_ilev=63 parsec.enable_exec_on_fuse=1 quiet net.ifnames=0" - По необходимости внести аналогичные исправления в строки параметров других используемых ядер.
- После внесения изменений обновить параметры загрузчика и перезагрузить систему:
Command sudo update-grub
sudo reboot