SuSE 9 Sicherheitsproblem ?

[scorpius]

Hallo, muss das nochmal ansprechen, habe (glaube ich) einen sicherheitsrelevanten Fehler in SuSE 9.0 bzw. KDE 3.1 entdeckt:

Im Kontrollzentrum/Arbeitsfläche/Kontrollleisten in "Menüs" das Häkchen bei "Einstellungen" setzen ! Nun kann ich auf alle YaST-Einstellungen im "Programm starten Menü/Einstellungen" zugreifen ohne auch nur einmal nach dem root-Passwort gefragt zu werden.

Ich weiss, das war jetzt nicht gut beschrieben, kann sowas nicht besser...

Probiert das doch mal bitte aus und beurteilt das - interessiert mich brennend...

gruss scorpius

[the_easterbunny]

http://www.linuxforen.de/forums/showthread.php?s=&threadid=114549

[scorpius]

klar, ähem, das war ja ich, hatte nur keine befriedigende Antwort bekommen...

[scorpius]

Auch auf die YaST-Funktionen die oben im K-Menü stehen (als zuletzt geöffnete Programme) kann ich als gewöhnlicher Benutzer ohne Passwortabfrage zugreifen...ich wundere mich warum auf diesen thread so wenig Reaktion erfolgt. Ist das echt nur bei mir ???

[WillhelmTell]

Original geschrieben von scorpius
Auch auf die YaST-Funktionen die oben im K-Menü stehen (als zuletzt geöffnete Programme) kann ich als gewöhnlicher Benutzer ohne Passwortabfrage zugreifen...ich wundere mich warum auf diesen thread so wenig Reaktion erfolgt. Ist das echt nur bei mir ???

Hey scorpius

Was soll ich sagen ... :(
Das ist ja mal echt schwach von Suse.
Habs auf meinem System versucht, und klappt.
Man kann "ohne!" nach einem root Passwort gefragt zu werden,
als User alles im Yast machen .. :eek:

SuSE wir auch in den Bugs Microsoft immer änlicher .. :(
Ich glaub ich muss mein System auf ein anderes Linux wechseln ...

cu
WillhelmTell

[cippo]

Ich habe es auch probiert, aber beim Speichern meckert der Rechner fast immer (Bei den Modemkonfigurationen hat er irgendwas gespeichert, was aber nicht wirksam wurde.) Vorsichtshalber kannst Du ja das Protokoll von Kinternet geöffnet lassen, normelerweise müßte das Änderungen anzeigen. Ansonsten denke ich: Kein schöner Bug, aber wohl nicht unbedingt gefährlich.

MfG

[WillhelmTell]

Original geschrieben von cippo
Ich habe es auch probiert, aber beim Speichern meckert der Rechner fast immer (Bei den Modemkonfigurationen hat er irgendwas gespeichert, was aber nicht wirksam wurde.) Vorsichtshalber kannst Du ja das Protokoll von Kinternet geöffnet lassen, normelerweise müßte das Änderungen anzeigen. Ansonsten denke ich: Kein schöner Bug, aber wohl nicht unbedingt gefährlich.

MfG

hm ...
Also ich konnte auch speichern. :(
Und das ohne einen Einwand von SuSE 9.0

Hab zur Sicherheit wieder 8.2 installiert dort funtzt es nicht ..

[rapmaster]

suse läßt sogar einen normalen user den pc ausschalten.
also was soll's...

[Spike05]

Original geschrieben von rapmaster
suse läßt sogar einen normalen user den pc ausschalten.
also was soll's...

Das lassen alle gängigen Distributionen für zu.

Anstatt hier das Problem breitzutreten: Ist schon mal jemand auf die Idee gekommen mit SuSE kontakt aufzunehmen?

[rapmaster]

nein
das tut knoppix nicht
da braucht man sogar sudo
*gg*

[Cosmo]

dann unterbindet doch den aufruf von YAST für normale user

[scorpius]

Original geschrieben von Spike05
Das lassen alle gängigen Distributionen für zu.

Anstatt hier das Problem breitzutreten: Ist schon mal jemand auf die Idee gekommen mit SuSE kontakt aufzunehmen?

ja, habe diesen thread an suse feedback geschickt...mal sehen was passiert

[Doh!]

Original geschrieben von WillhelmTell
SuSE wir auch in den Bugs Microsoft immer änlicher .. :(
Ich glaub ich muss mein System auf ein anderes Linux wechseln ...


Lass mal die Kirche im Dorf

[pasumima]

moin

hier die Antwort von suse

Sehr geehrter Herr Micha,

vielen Dank für Ihre Anfrage an den SUSE PreSales Service und Ihr
Interesse an unseren Produkten.

Sie schrieben:

> Wieso kann man als einacher Benutzer in KDE ohne root-Rechte über
> Menü=>Einstellungen=>YaST2 Module alle Anwendungen ohne Passwortabfrage
> starten ?

Ich vermute mal das Sie den Herrn Durich kennen. Wenn nicht ist es auch gut.
Der genannte Herr hat uns eine mail zu fast dem gleichen Thema geschrieben.

Damit es so geht wie Sie es beschrieben haben müssen Sie vorher im KDE-Kon-
trollzentrum unter -> Arbeitsfläche -> Kontrollleisten -> Reiter Menüs, ein
Häkchen vor 'Einstellungen' gesetzt haben.

Aber die Änderungen die mittels YaST auf diesem Weg vorgenommen werden,
werden nicht übernommen. (Was zuerst gar nicht auffällt). Daher ist die
Linux-Sicherheit nicht durch diese Funktion beeinträchtigt.

Schön ist es trotzdem nicht. Und wir werden veranlassen, dass es geändert
wird.





Mit freundlichen Grüßen,

SUSE PreSales
Manfred Blumenthal

[JonnyT]

@pasumima, wann hast du denen die E-Mail geschickt? Ich wollte gerne als Linuxjünger wissen wie lange der Support so auf sich warten läst.

Gruß jonas

[bootleg]

Original geschrieben von JonnyT
@pasumima, wann hast du denen die E-Mail geschickt? Ich wollte gerne als Linuxjünger wissen wie lange der Support so auf sich warten läst.

Gruß jonas

Ich habe an den kostenlosen Support von SuSE am 16.10.03 eine E-Mail geschickt, eine Antwort habe ich am 21.10.03 erhalten (am 15.10 ist SuSE 9.0 erschienen, also vielleicht geht es sonst schneller). Beim kostenpflichtigen Support wird das sicher schneller gehen, aber davon gehst du wohl nicht aus? Mit den entsprechenden Verträgen hast du Support 24/7.

[pasumima]

also ich habe die mail am 25.12.03 abgeschickt

und am 29.12.03 kam die antwort

allerdings auch nur an den kostenlosen support

allerdings wenn man bedenkt das da feiertage und wochenende dazwischen liegt

recht flott muss ich sagen

[rapmaster]

und da sind 90% der debian user gegen suse ...

[Cosmo]

und da sind 90% der debian user gegen suse ...
Naja ich glaub Debianer supporten sich selber, das kann man dan doch nicht vergleichen:)

[cippo]

@pasumima

sag ich doch, nicht schön, aber auch nicht unbedingt gefährlich