Ubuntu漏洞让访客取得系统访问权

过于通融大方的Linux发行版无法执行访问策略。最新版本的Ubuntu Linux发行版居然并没有限制访客帐户（guest account）的系统访问权。

这是开发人员泰勒·希克斯（Tyler Hicks）得出的结论，近日他汇报了一个安全漏洞，该漏洞让访客用户可以为所欲为，而原本系统应该限制访客的系统访问权，只可以访问特定的区域。

理想情况下，访客用户登录进入到Ubuntu系统后，应当被限制在一个小小的临时环境――现在他们却反而被当作平常用户来对待，可以像平常用户那样来访问文件系统。Ubuntu的默认设置让用户可以读取其他本地用户的文件――据漏洞报告声称，不应该允许访客这么做，但结果就是这样子。

具体来说，Canonical漏洞报告（https://bugs.launchpad.net/ubuntu/+source/lightdm/+bug/1663157）解释，访客会话通过LightDM界面启动后，它们通常是在一个特殊的AppArmor配置文件下面运行，这个配置文件阻止用户访问文件系统的大部分内容。

然而如果系统是Ubuntu 16.10、17.04和Ubuntu Artful Aardvark，这个策略并没有得到执行，访客会话而是被认为“不受限制的”。你只要以访客的身份登录，打开终端，并输入这行命令：$ cat /proc/self/attr/current，就可以证实这一点。

当然，可以认为这个漏洞是安全漏洞，因为它让可以本地访问Ubuntu机器的任何人都可以访问这台主机系统上的任何敏感文件和数据。这个安全漏洞已被赋予了CVE-2017-8900的编号。

为了防范攻击，所有三个Ubuntu版本中的访客访问权已被禁止，直到全面的修复补丁开发出来。希克斯特别指出，访问帐户特性可以手动重新启用，不过那当然会重新暴露这个安全漏洞。

虽然谈不是是重大的漏洞――你需要本地访问系统才称得上是访客用户，但这个漏洞让Ubuntu颇有点尴尬。我们完全可以想象：要是Windows或macOS 中发现了类似的漏洞，外界难免会指责和嘲笑，所以Canonical忍着点，赶紧打上补丁吧。