proNovell

Внимание!
Только что обнаруженная дырка в безопасности NetWare.

Подверженные платформы и продукты:
Novell NetWare 6.5 SP2, NetWare 6.5 SP3,
Novell Open Enterprise Server,
NetWare Remote Manager.

Непривелегированный пользователь,
войдя своим именем и паролем
на страничку NetWare Remote Manager,
может свободно изменять аттрибуты и даты/время
любых папок и файлов, которые он может в принципе увидеть.

Возможность изменять аттрибуты имеется независимо от файловых
прав, которые он имеет в файловых системах NSS и NetWare
Traditional File System.

На NSS аттрибуты не меняются by design

да, НЕКОТОРЫЕ аттрибуты на NSS не меняются
а аттрибуты Date Time - меняются.

Да, моё первооткрытие.
Написан в Novell, Inc. 01 июня 2005г.
Ответа пока не пришло.

Отсюда следует, что будет SP4? И кстати, можно ссылку на первоисточник? Или это Ваше открытие?

Он обнаружил...

NW 6 SP5 - не дает менять атрибуты
OES Linux - у меня непривилигированного пользователя не пускает в NRM
OES NetWare - все как в NetWare 6.5 SP3 (т.к. практически идентичны)

Непривилегированный!
Атрибут!

Безусловно, это неприятно...
Но, по большому счёту:
1) Смена даты - это не критично
2) Вы можете закрыть доступ к NRM при помощи IP Access List для рядовых пользователей

Как это некритично? Очень даже неприятно: Смотря как относиться к администрированию системы:

1. смена дат и "Archive Needed" может либо исключить файлы из BACKUP (это плохо?) или наоборот включить файлы в BACKUP (т.о. например носители (ленты) на стриммере переполнить)

2. изменение "Immediately compress" может привести к внезапной нагрузке на сервер (начнётся сжатие кучи файлов)

3. изменени "Dont compress" может привести к переполнению тома.

Если говорить про сервер в сети небольшой огранизации под маленькой нагрузкой,
или сервер в тестовой среде, то конечно это не опасно.
Но если говорить про реально нагруженные серверы,
состояние которых критично для работы предприятия,
то обнаруженный баг вполне может быть использован для нарушения работы системы.

Это не неприятно - это просто неправильно. Если написано ( прямо там же, в NRM ), что эффективные права RF, то так и должно быть. Так прямо в Новелл и писать надо ..