Символьная ссылка не работает должным образом при смене пользователя
Наша проблема была решена с помощью:
setfacl -bn foobar
Дело в том, что нам также пришлось удалить aclMask из каталога с опцией -n ... На странице руководства setfacl говорится следующее:
-n Do not recalculate the permissions associated with the ACL mask
entry. This option is not applicable to NFSv4 ACLs.
Мы не уверены, почему эта опция сработала, но она сработала ...
Если вы получили разрешение d ????????? после решения выше, попробуйте chmod -R a + rX как два комментария ниже.
В результате этих действий должно появиться сообщение об ошибке: Permission denied. Каталог, /tmp, имеет разрешения, включая липкий бит. Ошибка является результатом настройки ядра для fs.protected_symlinks.
Чтобы показать настройку, sysctl fs.protected_symlinks. При установке это равно 1. Для временного отключения, что не рекомендуется, sysctl -w fs.protected_symlinks=0. Для постоянного отключения, что опять же не рекомендуется, используйте /etc/sysctl.conf.
Дополнительную информацию см. на patchwork.kernel.org.
Чтобы избежать гниения ссылок, ведущие абзацы резюме о символических ссылках из гиперссылки следуют далее.
Kees Cook - 2 июля 2012, 8:17 p.m.
Это добавляет ограничения симлинков и жестких ссылок в Linux VFS.
Симлинки:
Давно существующий класс проблем безопасности - это основанные на симлинках гонка времени проверки и времени использования, наиболее часто встречающаяся в перезаписываемых в мире каталогах, таких как /tmp. Распространенным методом эксплуатации этого недостатка заключается в пересечении границ привилегий при следовании по данной ссылке (т.е. root-процесс следует по симлинку, принадлежащему другому пользователю). Для примера можно привести неполный список сотен примеров за последние годы, пожалуйста, см: http://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=/tmp
Решение состоит в том, чтобы разрешить следование по симлинкам только за пределами липкого каталога, доступного для записи в мире, или когда uid симлинка и последователя совпадает, или когда владелец каталога совпадает с владельцем симлинка.