Установка Локальными Непривилегированными Пользователями Любых Подписанных Пакетов в Fedora 12

Внимание! В дистрибутиве Fedora 12 изменены настройки политики безопасности. В частности, любой локальный пользователь может установить или обновить любой подписанный пакет из любого репозитория, ключ которого предварительно был импортирован в систему.

Ситуация усугубляется тем, что:

1. Данное действие может выполнить и удаленный пользователь, используя, например, x11vnc.
2. Об этом изменении не было сообщено пользователям в замечаниях к выпуску продукта.
3. Разработчики Fedora не признали данное нововведение багом или уязвимостью.

В результате чего в списке рассылки fedora-devel и багзилле появилось большое количество критических сообщений по данному поводу, однако разработчики Fedora не спешили предпринимать какие-либо действия.

Лишь спустя сутки благодаря активной критике сообществом поведения разработчиков Fedora было предпринято следующее:

1. Выпущено обновление пакета PackageKit-0.5.4-0.4.20091029git.fc12, изменяющее настройки политики безопасности: теперь для установки и обновления пакетов пользователю необходимо вводить пароль суперпользователя.
2. Обновлены замечания к выпуску Fedora 12.

Подробности:

• Red Hat Bugzilla #534047