Gemeinsame Ordner vor Link- und Dateitricks schützen

Geringes Risiko In IbexWall standardmäßig angehakt Katalog geprüft: 2026-11-05

Blockiert die klassischen Angriffe, die einen Link oder eine Datei in /tmp platzieren, damit ein privilegiertes Programm dorthin schreibt, wo der Angreifer es will.

Warum es wichtig ist

In einem gemeinsam genutzten Ordner wie /tmp kann jeder Dateien anlegen. Ein Angreifer kann dort einen Link platzieren, der auf etwas Wichtiges zeigt, etwa eine Datei in Ihrem Home-Ordner, und warten, bis ein Skript oder privilegiertes Programm unter dem gewohnten Namen schreibt. Das Programm folgt dem Link und überschreibt das Ziel.

Wie es funktioniert

Aktiviert vier Kernel-Schutzmechanismen: fs.protected_symlinks=1 und fs.protected_hardlinks=1 beschränken das Folgen und Anlegen von Links in Verzeichnissen mit Sticky-Bit, und fs.protected_fifos=2 und fs.protected_regular=2 hindern Programme daran, in solchen Ordnern eine Pipe oder Datei eines anderen Benutzers mit Anlegen zu öffnen.

Für wen es sich eignet

Für jeden geeignet. Viele Systeme aktivieren bereits das Meiste. Nur ausschalten, wenn ein altes Skript davon abhängt, Dateien eines anderen Benutzers in /tmp wiederzuverwenden.

Was Sie bemerken könnten

Meist nichts. Ein Skript, das in eine Datei in /tmp schreibt, die ein anderer Benutzer angelegt hat, kann mit Permission denied fehlschlagen.

Auf Ihrem Computer prüfen

Den aktuellen Wert lesen:

sysctl fs.protected_symlinks
sysctl fs.protected_hardlinks
sysctl fs.protected_fifos
sysctl fs.protected_regular

Von Hand anwenden

Jetzt setzen (bis zum nächsten Neustart):

sudo sysctl -w fs.protected_symlinks=1
sudo sysctl -w fs.protected_hardlinks=1
sudo sysctl -w fs.protected_fifos=2
sudo sysctl -w fs.protected_regular=2

Nach Neustarts beibehalten, in einer eigenen Datei:

sudo tee /etc/sysctl.d/90-fs-protected-files.conf <<'EOF'
fs.protected_symlinks = 1
fs.protected_hardlinks = 1
fs.protected_fifos = 2
fs.protected_regular = 2
EOF
sudo sysctl --system

Rückgängig machen

Entfernen Sie die Datei und starten Sie neu, oder setzen Sie den alten Wert mit sysctl -w zurück.

Quellen

Linux Hardening Guide (madaidans): 2.2.3
Linux kernel documentation: fs.protected_symlinks