PowerScale OneFS: Fejl modtaget efter opgradering "500 OOPS: VSFTPD: Nægter at køre med skrivbar rod inde i chroot"

500 OOPS: vsftpd: refusing to run with writable root inside chroot()

Problemet opstår efter opgradering af OneFS til en version, der indeholder opgraderede vsftpd:

• 8.2.2_GA-RUP_2023-06 og nyere
• 9.1.0.29 og nyere
• 9.2.1.23 og nyere
• 9.4.0.14 og nyere
• 9.5.0.4 og nyere
• 9.6.0.0 og nyere

F.eks. vsftpd PKG opdateres fra vsftpd-ssl-2.3.4vsftpd-ssl-3.0.5.

Flere oplysninger findes på vsftpd Officiel hjemmeside på https://security.appspot.com/vsftpd/Changelog.txt 

- Add stronger checks for the configuration error of running with a writeable root directory inside a chroot(). This may bite people who carelessly turned on chroot_local_user but such is life.
- Add new config setting "allow_writeable_chroot" to help people in a bit of a spot with the v2.3.5 defensive change. Only applies to non-anonymous.

Problemet er, at FTP-brugerens rodmappe kan skrives. Ikonet chroot Limit bruges, hvilket ikke er tilladt i den seneste opdatering. Ikonet chroot Den mappe, som brugerne er låst til, må ikke kunne skrives.

• Valgmulighed 1: Fjern skrivetilladelser til brugerens rodmappe.

#chmod a-w /home/user

• Valgmulighed 2: Du kan omgå de skærpede kontroller ved at tilføje konfigurationsindstillingerne nedenfor i vsftpd Global konfigurationsfil eller individuel brugerkonfigurationsfil:

allow_writeable_chroot=YES

# cp -av /etc/mcp/templates/vsftpd.conf  /ifs/data/Isilon_Support/vsftpd.conf.bak

allow_writeable_chroot=YES"

En anden mulighed i stedet for at bruge VI-editoren er at bruge ekkokommandoen til at tilføje en linje til den samme fil: 

# echo "allow_writeable_chroot=YES"  >>  /etc/mcp/templates/vsftpd.conf

Vent et par sekunder, og kontroller derefter, at filen opdateres til alle noder, og at filen md5-kontrolsum er konsistent.

# isi_for_array -s md5 /etc/mcp/templates/vsftpd.conf

Her er en hurtig gengivelse af problemet og trinene til at løse det:

1. Log på en PowerScale-klynge, der kører OneFS 9.4.0.14. Nedenfor er FTP-brugerens startmappe:

test2-fxq5rm3-1# ls -ld /ifs/home/warmsvcisiftp
drwx------     2 warmsvcisiftp  Isilon Users  264 Jun 13 02:50 /ifs/home/warmsvcisiftp

2. FTP-brugerlogin mislykkes med fejlmeddelelsen:

test2-fxq5rm3-1# ftp localhost
Trying 127.0.0.1:21 ...
Connected to localhost.
220-PowerScale OneFS 9.4.0.14
220
Name (localhost:root): warmsvcisiftp
331 Please specify the password.
Password:
500 OOPS: vsftpd: refusing to run with writable root inside chroot()
ftp: Login failed
ftp>

3. There are two options to address this issue depending on your workflow and concerns:
   

• Valgmulighed 1:  Fjern skrivetilladelserne for brugerens rodmappe:

test2-fxq5rm3-1# chmod a-w /ifs/home/warmsvcisiftp
test2-fxq5rm3-1# ls -ld /ifs/home/warmsvcisiftp
dr-x------     2 warmsvcisiftp  Isilon Users  264 Jun 13 02:50 /ifs/home/warmsvcisiftp

test2-fxq5rm3-1# ftp localhost
Trying 127.0.0.1:21 ...
Connected to localhost.
220-PowerScale OneFS 9.4.0.14
220
Name (localhost:root): warmsvcisiftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> bye
221 Goodbye.

• Valgmulighed 2: Omgå sikkerhedstjekket:

test2-fxq5rm3-1# chmod u+w /ifs/home/warmsvcisiftp
test2-fxq5rm3-1# ls -ld /ifs/home/warmsvcisiftp
drwx------     2 warmsvcisiftp  Isilon Users  264 Jun 13 02:50 /ifs/home/warmsvcisiftp
test2-fxq5rm3-1# echo "allow_writeable_chroot=YES" >> /etc/mcp/templates/vsftpd.conf
test2-fxq5rm3-1# isi_for_array -s md5 /etc/mcp/templates/vsftpd.conf
test2-fxq5rm3-1: MD5 (/etc/mcp/templates/vsftpd.conf) = 4920beaff65c3bfa09bd18582c2fbcf8
test2-fxq5rm3-2: MD5 (/etc/mcp/templates/vsftpd.conf) = 4920beaff65c3bfa09bd18582c2fbcf8
test2-fxq5rm3-3: MD5 (/etc/mcp/templates/vsftpd.conf) = 4920beaff65c3bfa09bd18582c2fbcf8
test2-fxq5rm3-1# ftp localhost
Trying 127.0.0.1:21 ...
Connected to localhost.
220-PowerScale OneFS 9.4.0.14
220
Name (localhost:root): warmsvcisiftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> bye
221 Goodbye.

• Dell-artikel Isilon: OneFS 8.X og nyere: Sådan låses (chroot (skift rod) fængsel) FTP-brugere i en bestemt mappe
• ArchLinux-dokument, meget sikker FTP-dæmon