From: Kazuhiro NISHIYAMA <zn@...>
Date: 2002-05-15T18:22:46+09:00
Subject: [ruby-dev:17109] Re: control groups

西山和広です。

In <20020515180004O.nagai@ai.kyutech.ac.jp>
On Wed, 15 May 2002 18:00:12 +0900
nagai@ai.kyutech.ac.jp wrote:
> 現状でこれをやりたければ，syscall 経由で getgroups/setgroups を
> 使うしかなさそうですね．
> でも，実/実効ユーザ ID を変更して root 権限を放棄してしまえば，
> newgrp しようとしても password を要求されると思いますけど，
> それではダメということですか？

rootグループでアクセス可能なファイルにアクセスできてしまうので
だめだと思います。

% cat grptest.rb
#!/usr/bin/ruby
testdir = 'grptest'
Dir.mkdir(testdir)
File.chmod(0775, testdir)
Process.euid = Process.uid = Process.egid = Process.gid = 1000
File.open(File.join(testdir, 'testfile'), 'w') do |f|
  f.puts "insecure"
end
% sudo ruby grptest.rb
% ls -al grptest
合計 4
drwxrwxr-x    2 root     root            0 May 15 18:19 ./
drwxrwxrwt   14 root     root            0 May 15 18:19 ../
-rw-r--r--    1 kazu     kazu            9 May 15 18:19 testfile
%


> # 現在放置 (Ruby/Tk と格闘中のため．これについては別メールで) している
> # ユーザ/グループ ID のコントロールメソッド導入計画で
> # getgroups/setgroups も含めるようにした方がいいですかね？

その方がいいと思います。


-- 
|ZnZ(ゼット エヌ ゼット)
|西山和広(Kazuhiro NISHIYAMA)