vdr nur als root?

Normalerweise startet der VDR bei dem in den Debian-Paketen mitgelieferten Init-Skript als root und droppt dann die nicht benötigten Privilegien. Der von dir verlinkte Bugreport geht von dem speziellen Fall aus, dass der Root-Nutzer diese Privilegien nie hatte. Eigentlich sollte es genügen den VDR als normaler User statt als root zu starten, um den Fehler loszuwerden.

Der VDR ist IMHO nicht dafür geeignet außerhalb eines vertrauenswürdigen Netzwerks zu laufen. SVDRP und VTP sind unverschlüsselt und besitzen keine sichere Möglichkeit für eine Authentifizierung. Wenn würde ich eine VPN-Verbindung zum Server aufbauen und den Rest tunneln, dann ist es auch kein Problem in der Client-Konfiguration eine IPv4-Adresse für den Server anzugeben.

Zitat von kdeiss

Ich versuche gerade einen vdr auf einer Strato VM ans Laufen zu bringen (Ubuntu 12.04 LTS).

Zitat von kdeiss

Wie schätzt ihr das Risiko ein wenn der vdr als root auf einer öffentlichen Maschine ausgeführt wird?

Das viel größere Risiko ist, dass Ubuntu 12.04 seit Monaten nicht mehr gepflegt wird (falls du nicht gerade ein zahlender Ubuntu Advantage customer bist): https://lists.ubuntu.com/archi…ce/2017-March/000217.html - damit hast du potentiell noch ganz andere Probleme durch in der Zwischenzeit bekannt gewordenen Sicherheitslücken bei den ganzen anderen aus dem Netzwerk erreichbaren Diensten auf dem Server...

Ich habe mir den Code in VDR gerade mal näher angeschaut. Der Name 'DropCaps()' ist wohl etwas irreführend, denn eigentlich macht er an dieser Stelle keinen "drop", sondern *setzt* die Caps, so daß nur noch genau die erwünschten drei vorhanden sind. Man müsste hier wohl erst prüfen, welche der Caps überhaupt vorhanden sind. Aber das sollte vielleicht jemand implementieren, der sich mit diesen Funktionen auskennt... ;-).

Klaus

Zitat

Das Geheimnis liegt jetzt in /etc/vdr/conf.d/00-vdr.conf

Dort kann man den root mode erzwingen.

Darauf muss man erst mal kommen dass es nun auch eine falsche Stelle für den Parameter gibt...

Danke!

Zitat von kls

Ich habe mir den Code in VDR gerade mal näher angeschaut. Der Name 'DropCaps()' ist wohl etwas irreführend, denn eigentlich macht er an dieser Stelle keinen "drop", sondern *setzt* die Caps, so daß nur noch genau die erwünschten drei vorhanden sind. Man müsste hier wohl erst prüfen, welche der Caps überhaupt vorhanden sind. Aber das sollte vielleicht jemand implementieren, der sich mit diesen Funktionen auskennt... ;-).

Klaus

Der Beitrag ist zwar schon alt, das Problem besteht aber immer noch, wenn man den VDR in einem Container als User vdr laufen lassen möchte. Im Container gibt es keine Berechtigung, die Funktion cap_sys_time zu nutzen, weil die auf das Host System wirken würde (getestet mit Ubuntu 18.04 und lxc).

Ich habe mal ein Patch gebaut, der überprüft, ob cap_sys_time verfügbar ist und falls nicht, darauf verzichtet. In dem Fall geht natürlich die Funktion "Systemzeit aus DVB setzen" nicht mehr, das macht aber in einem Container eh keinen Sinn.

Der diff ist gegen dem aktuellen Code aus yavdr repository experimental.

--- vdr.c.org   2019-03-16 10:49:50.320372105 +0100
+++ vdr.c       2019-03-16 10:50:00.108303375 +0100
@@ -127,7 +127,30 @@ static bool SetUser(const char *User, bo
 static bool DropCaps(void)
 {
   // drop all capabilities except selected ones
-  cap_t caps = cap_from_text("= cap_sys_nice,cap_sys_time,cap_net_raw=ep");
+
+  cap_t caps;
+  cap_t caps_all = cap_get_proc();
+  if (!caps_all) {
+     fprintf(stderr, "vdr: cap_get_proc failed: %s\n", strerror(errno));
+     return false;
+     }
+  char *caps_text = cap_to_text(caps_all, NULL);
+  if (!caps_text) {
+     fprintf(stderr, "vdr: cap_to_text failed: %s\n", strerror(errno));
+     return false;
+     }
+  if (cap_free(caps_all)) {
+     fprintf(stderr, "vdr: cap_free failed: %s\n", strerror(errno));
+     return false;
+     }
+  if (strstr(caps_text,"cap_sys_time")) {
+     caps = cap_from_text("= cap_sys_nice,cap_sys_time,cap_net_raw=ep");
+     }
+  else {
+     fprintf(stderr,"VDR OS supports no cap_sys_time, seems to run in a container\n");
+     caps = cap_from_text("= cap_sys_nice,cap_net_raw=ep");
+     }
+
   if (!caps) {
      fprintf(stderr, "vdr: cap_from_text failed: %s\n", strerror(errno));
      return false;

Wäre super, wenn mal jemand testen könnte, ob der Patch auch unter anderen Umgebungen läuft und vor allem keine Probleme auf "normalen" Systemen verursacht.