SUSE propone di disabilitare i binari setuid a livello di sistema

Thorsten Kukuk ha proposto ad All Systems Go! 2026 di disabilitare a livello di sistema i binari setuid e setgid, spostando la politica di SUSE da eccezioni controllate a un blocco totale¹.

I setuid e i setgid hanno prodotto vulnerabilità per anni. La raccomandazione è evitarli quando possibile, perché aumentano la superficie d’attacco¹. Finora SUSE ha imposto una regola severa: niente binari con questi bit nei pacchetti ufficiali, salvo revisione e approvazione esplicita del team sicurezza¹.

La proposta alza l’asticella. Non più un filtro per pacchetto, ma una disabilitazione che vale per l’intero sistema¹. In pratica, i binari con setuid o setgid non potrebbero eseguire con privilegi aumentati su quella macchina. L’obiettivo è ridurre una classe nota di rischi, passando da gestione caso per caso a rimozione preventiva.

Kukuk ha illustrato lo stato del lavoro e ha segnalato che restano ostacoli prima di arrivare a una disabilitazione completa¹. La fonte non dettaglia la natura di questi ostacoli. Indica però che servono ulteriori passaggi per chiudere il percorso¹. Il messaggio è netto: la direzione è tracciata, l’attuazione richiede ancora lavoro.

Oggi la prassi SUSE combina divieto predefinito e deroghe limitate, con revisione formale delle richieste¹. Disabilitare i setuid e i setgid a livello di sistema sposterebbe il baricentro: dalle eccezioni approvate a una impossibilità tecnica di fatto. Cambia il perimetro del controllo, da un’analisi per componente a una misura uniforme sull’intero ambiente.

Il contesto presentato da Kukuk chiarisce anche il perché del cambio di passo. Una misura sistema-wide elimina la dipendenza da singole decisioni di packaging e da verifiche distribuite nel tempo¹. Riduce il rischio di regressioni quando un pacchetto reintroduce un binario problematico. Rende la postura di sicurezza più prevedibile per chi gestisce i sistemi.

Restano aperte le domande operative. Come gestire i casi d’uso che oggi appoggiano su setuid o setgid. Come incastonare la novità nei processi di rilascio. La presentazione non entra in questi dettagli, segnala soltanto che il lavoro procede e che permangono punti da risolvere¹.

All Systems Go! 2026 ha offerto il palco per fissare la rotta, non per annunciare la fine del viaggio¹. Se SUSE completerà questa transizione, cambierà la quotidianità di chi costruisce e mantiene pacchetti: meno eccezioni, più coerenza tra ambienti, controlli concentrati su alternative sicure.