Служба lab-preview отдаёт отчёты из /srv/reports по сети. Её поставили как есть, и при старте она пишет в журнал самопроверку: от кого работает и что ей доступно. Посмотри эту строку и оценку службы.
Посмотри, от кого работает lab-preview
Посмотри в журнале lab-preview строку самопроверки, затем её оценку командой systemd-analyze security.
Сначала предположи
lab-preview раздаёт готовые отчёты по сети. От какого пользователя её запустил systemd?
Теперь начни упражнение, выполни команду и сверь прогноз с выводом.
Служба lab-preview работает от root и читает /etc/shadow. Почему systemd запустил её так?
-
Порт 8095 выше 1024 — его открывает любой пользователь. Проверь: та же программа от обычного пользователя слушает его же.
-
Часть служб образа работает от своих пользователей.
systemctl show -p User postgresqlпокажет не root. -
Файлы отчётов — 644, их читает любой:
ls -l /srv/reports. Права root служба получила не из-за них.
В юните нет User=, поэтому служба досталась root со всеми его правами.