PowerScale OneFS: Отримана помилка після оновлення "500 OOPS: Vsftpd: Відмовляється працювати з написаним коренем всередині chroot"

Вхід користувача FTP не виходить з:

500 OOPS: vsftpd: refusing to run with writable root inside chroot()

Проблема виникає після оновлення OneFS до версії з оновленим vsftpd:

• 8.2.2_GA-RUP_2023-06 і пізніше
• 9.1.0.29 і пізніше
• 9.2.1.23 і пізніше
• 9.4.0.14 і пізніше
• 9.5.0.4 і пізніше
• 9.6.0.0 і пізніше

Наприклад, vsftpd PKG оновлено з vsftpd-ssl-2.3.4vsftpd-ssl-3.0.5.

Більше інформації доступно на vsftpd офіційна домашня сторінка за адресою https://security.appspot.com/vsftpd/Changelog.txt 

- Add stronger checks for the configuration error of running with a writeable root directory inside a chroot(). This may bite people who carelessly turned on chroot_local_user but such is life.
- Add new config setting "allow_writeable_chroot" to help people in a bit of a spot with the v2.3.5 defensive change. Only applies to non-anonymous.

Проблема в тому, що кореневий каталог користувача FTP можна записати. The chroot Використовується обмеження, яке не дозволено в останньому оновленні. The chroot Каталог, до якого заблоковані користувачі, не повинен бути придатним для запису.

• Варіант 1: Видаліть права запису в кореневій директорії користувача.

#chmod a-w /home/user

• Варіант 2: Обійдіть сильніші перевірки, додавши налаштування конфігурації нижче у vsftpd Глобальний конфігураційний файл або індивідуальний файл конфігурації користувача:

allow_writeable_chroot=YES

У кластері OneFS рекомендується зробити копію vsftpd конфігурація на /ifs/data/Isilon_Support/.
Наприклад:

# cp -av /etc/mcp/templates/vsftpd.conf  /ifs/data/Isilon_Support/vsftpd.conf.bak

Потім, використовуючи редактор VI, додайте наступний рядок до /etc/mcp/templates/vsftpd.conf "

allow_writeable_chroot=YES"

Інший варіант замість використання VI-редактора — використовувати echo Команду додати рядок до цього ж файлу: 

# echo "allow_writeable_chroot=YES"  >>  /etc/mcp/templates/vsftpd.conf

Зачекайте кілька секунд, потім перевірте, чи файл оновлюється на всі вузли і чи файл md5 checksum є послідовним.

# isi_for_array -s md5 /etc/mcp/templates/vsftpd.conf

Ось коротке відтворення проблеми та кроків для її вирішення:

1. Увійдіть у кластер PowerScale на OneFS 9.4.0.14. Нижче наведено домашню довідку користувачів FTP:

test2-fxq5rm3-1# ls -ld /ifs/home/warmsvcisiftp
drwx------     2 warmsvcisiftp  Isilon Users  264 Jun 13 02:50 /ifs/home/warmsvcisiftp

2. Вхід користувача FTP не працює через повідомлення про помилку:

test2-fxq5rm3-1# ftp localhost
Trying 127.0.0.1:21 ...
Connected to localhost.
220-PowerScale OneFS 9.4.0.14
220
Name (localhost:root): warmsvcisiftp
331 Please specify the password.
Password:
500 OOPS: vsftpd: refusing to run with writable root inside chroot()
ftp: Login failed
ftp>

3. Існує два варіанти вирішення цієї проблеми залежно від вашого робочого процесу та занепокоєнь:

• Варіант 1:  Видаліть права запису для кореневого каталогу користувача:

test2-fxq5rm3-1# chmod a-w /ifs/home/warmsvcisiftp
test2-fxq5rm3-1# ls -ld /ifs/home/warmsvcisiftp
dr-x------     2 warmsvcisiftp  Isilon Users  264 Jun 13 02:50 /ifs/home/warmsvcisiftp

test2-fxq5rm3-1# ftp localhost
Trying 127.0.0.1:21 ...
Connected to localhost.
220-PowerScale OneFS 9.4.0.14
220
Name (localhost:root): warmsvcisiftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> bye
221 Goodbye.

• Варіант 2: Обходьте перевірку безпеки:

test2-fxq5rm3-1# chmod u+w /ifs/home/warmsvcisiftp
test2-fxq5rm3-1# ls -ld /ifs/home/warmsvcisiftp
drwx------     2 warmsvcisiftp  Isilon Users  264 Jun 13 02:50 /ifs/home/warmsvcisiftp
test2-fxq5rm3-1# echo "allow_writeable_chroot=YES" >> /etc/mcp/templates/vsftpd.conf
test2-fxq5rm3-1# isi_for_array -s md5 /etc/mcp/templates/vsftpd.conf
test2-fxq5rm3-1: MD5 (/etc/mcp/templates/vsftpd.conf) = 4920beaff65c3bfa09bd18582c2fbcf8
test2-fxq5rm3-2: MD5 (/etc/mcp/templates/vsftpd.conf) = 4920beaff65c3bfa09bd18582c2fbcf8
test2-fxq5rm3-3: MD5 (/etc/mcp/templates/vsftpd.conf) = 4920beaff65c3bfa09bd18582c2fbcf8
test2-fxq5rm3-1# ftp localhost
Trying 127.0.0.1:21 ...
Connected to localhost.
220-PowerScale OneFS 9.4.0.14
220
Name (localhost:root): warmsvcisiftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> bye
221 Goodbye.

• Стаття Dell про Isilon: OneFS 8.X та новіші: Як заблокувати (chroot (змінити root) jail) користувачів FTP у конкретній директорії
• Документ ArchLinux, дуже захищений FTP-демон