U-22) unix 서버취약점 > 서비스 관리 > cron 파일 소유자 및 권한 설정

 

U-22 (상)	3. 서비스관리 > cron 파일 소유자 및 권한 설정
취약점 개요
점검내용	Ÿ Cron 관련 파일의 권한 적절성 점검
점검목적	Ÿ 비인가자가 cron 서비스를 사용할 수 없도록 설정하고 있는지 점검하는 것을 목적으로 함
보안위협	Ÿ root 외 일반사용자에게도 crontab 명령어를 사용할 수 있도록 할 경우, 고의 또는 실수로 불법적인 예약 파일 실행으로 시스템 피해를 일으킬 수 있음
참고	※ Cron 시스템: 특정 작업을 정해진 시간에 주기적이고 반복적으로 실행하기 위한 데몬   과 그 설정들을 말함 ※ cron.allow:  해당 파일에 사용자 ID를 등록하면 등록된 사용자는 crontab 명령어 사용    이 가능함 ※ cron.deny: 해당 파일에 사용자 ID를 등록하면 등록된 사용자는 crontab 명령어 사용     이 불가능함
점검대상 및 판단기준
대상	Ÿ SOLARIS, Linux, AIX, HP-UX 등
판단기준	양호 : crontab 명령어 일반사용자 금지 및 cron 관련 파일 권한이 640 이하인 경우
	취약 : crontab 명령어 일반사용자 사용 가능하거나, cron 관련 파일 권한이 640 이상인 경우
조치방법	crontab 명령어 750 이하, “cron.allow", "cron.deny" 파일 소유자 및 권한 변경 (소유자 root, 권한 640 이하)
점검 및 조치 사례
• 공통설정 Step 1) crontab 명령어 일반사용자 권한 삭제 (crontab 명령어 위치는 OS별 다를 수 있음)        ※ crontab 명령어는 SUID가 설정되어 있으므로 SUID 설정 제거 #ls -l /usr/bin/crontab #chmod 750 /usr/bin/crontab Step 2) cron 관련 설정파일 소유자 및 권한 설정 #chown root <cron 관련 파일> #chmod  640 <cron 관련 파일>

U-22 (상)	3. 서비스관리 > cron 파일 소유자 및 권한 설정
• Crontab 명령어를 일반사용자에게 허용하는 경우 Step 1) "/etc/cron.d/cron.allow" 및 "/etc/cron.d/cron.deny" 파일의 소유자 및 권한 변경 #chown root /etc/cron.d/cron.allow #chmod  640 /etc/cron.d/cron.allow #chown  root /etc/cron.d/cron.deny #chmod 640 /etc/cron.d/cron.deny Step 2) "/etc/cron.d/cron.allow" 및 "/etc/cron.d/cron.deny" 파일에 사용자 등록 #cat /etc/cron.allow (crontab 명령어 사용을 허용하는 사용자 등록) #cat /etc/cron.deny (crontab 명령어 사용을 차단하는 사용자 등록)
조치 시 영향	일반적인 경우 영향 없음