<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=us-ascii">
</head>
<body dir="auto">
<div style="-webkit-text-size-adjust: auto; ">Hi Karl,</div>
<div style="-webkit-text-size-adjust: auto; ">You are absolutely correct. I have submitted a patch to Debian eject package to use /sys instead as you suggested. However, somehow, it is not integrated yet. You can take a look at the thread here:</div>
<div style="-webkit-text-size-adjust: auto; "><span style="font-family: '.HelveticaNeueUI'; font-size: 15px; line-height: 19px; white-space: nowrap; -webkit-tap-highlight-color: rgba(26, 26, 26, 0.296875); -webkit-composition-fill-color: rgba(175, 192, 227, 0.230469); -webkit-composition-frame-color: rgba(77, 128, 180, 0.230469); -webkit-text-size-adjust: none; "><a href="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=695504">http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=695504</a></span></div>
<div><font face=".HelveticaNeueUI"><span style="font-size: 15px; line-height: 19px; white-space: nowrap; -webkit-tap-highlight-color: rgba(26, 26, 26, 0.292969); -webkit-composition-fill-color: rgba(175, 192, 227, 0.230469); -webkit-composition-frame-color: rgba(77, 128, 180, 0.230469);"><br>
</span></font><br>
<div style="-webkit-text-size-adjust: auto; "><span class="Apple-style-span" style="-webkit-tap-highlight-color: rgba(26, 26, 26, 0.292969); -webkit-composition-fill-color: rgba(175, 192, 227, 0.230469); -webkit-composition-frame-color: rgba(77, 128, 180, 0.230469); ">Thanks,</span></div>
<div style="-webkit-text-size-adjust: auto; ">Bhushan</div>
</div>
<div style="-webkit-text-size-adjust: auto; "><br>
On Jul 9, 2013, at 10:10 PM, "Karl O. Pinc" <<a href="mailto:kop@meme.com">kop@meme.com</a>> wrote:<br>
<br>
</div>
<blockquote type="cite" style="-webkit-text-size-adjust: auto; ">
<div><span>On 11/27/2012 11:25:59 AM, Bhushan Jain wrote:</span><br>
<blockquote type="cite"><span>Hello Developers,</span><br>
</blockquote>
<blockquote type="cite"><span></span><br>
</blockquote>
<blockquote type="cite"><span>I am a student at Stony Brook University researching system security.</span><br>
</blockquote>
<blockquote type="cite"><span>I noticed that the only reason dmcrypt-get-device (from eject
</span><br>
</blockquote>
<blockquote type="cite"><span>package)</span><br>
</blockquote>
<blockquote type="cite"><span>needs setuid privilege is to read the major:minor numbers (unless I</span><br>
</blockquote>
<blockquote type="cite"><span>have missed something).</span><br>
</blockquote>
<blockquote type="cite"><span>A lot of distributions (Ubuntu, Fedora, etc.) are trying to avoid use</span><br>
</blockquote>
<blockquote type="cite"><span>of the setuid bit because it can potentially introduce a privilege</span><br>
</blockquote>
<blockquote type="cite"><span>escalation attack vector.</span><br>
</blockquote>
<blockquote type="cite"><span>I think the same thing could be accomplished by exporting the</span><br>
</blockquote>
<blockquote type="cite"><span>major:minor device numbers through a proc file, and then eliminate
</span><br>
</blockquote>
<blockquote type="cite"><span>the</span><br>
</blockquote>
<blockquote type="cite"><span>need for dmcrypt-get-device.</span><br>
</blockquote>
<blockquote type="cite"><span>I would be happy to send you a patch that does this, if there is</span><br>
</blockquote>
<blockquote type="cite"><span>interest.  Any comments/thoughts?</span><br>
</blockquote>
<span></span><br>
<span>Speaking from ignorance, isn't there something in /sys with this</span><br>
<span>information?  If so a patch to read from that might be better.</span><br>
<span>I'm ignorant, but I've this feeling that /proc is frowned upon.</span><br>
<span></span><br>
<span>Regards,</span><br>
<span></span><br>
<span>Karl <<a href="mailto:kop@meme.com">kop@meme.com</a>></span><br>
<span>Free Software:  "You don't pay back, you pay forward."</span><br>
<span>                -- Robert A. Heinlein</span><br>
</div>
</blockquote>
</body>
</html>