SUSE avança para desativar binários setuid em todo o sistema Linux

O que aconteceu e o que fazer

Segundo o artigo do LWN, a equipe de segurança da SUSE trabalha para desativar binários setuid em todo o sistema Linux. Hoje a empresa já proíbe a inclusão de binários setuid ou setgid em pacotes, salvo quando tenham sido revisados e explicitamente autorizados. Thorsten Kukuk quer ir além e proibi-los por completo, e falou sobre esse trabalho e sobre alguns obstáculos que ainda restam na conferência All Systems Go! de 2026.

Na prática, uma empresa que opera distribuições Linux pode começar por um inventário contínuo de todos os binários com bits setuid e setgid em imagens, contêineres e servidores, comparando-o a uma lista de exceções aprovadas. Um pipeline de build pode bloquear novos pacotes com esses bits sem revisão, e um monitor em produção pode alertar sobre qualquer arquivo que ganhe o bit após a implantação. Cada exceção pode então ser tratada caso a caso, substituindo o privilégio por capabilities, serviços com privilégio separado ou mediação via systemd e polkit, conforme o caso.

Como a consultoria pode ajudar

Diagnóstico da superfície de binários setuid e setgid nas imagens, pacotes e servidores do cliente, com priorização das exceções. Em seguida, implementamos gates de build, monitoramento contínuo e um plano de migração para remover privilégios desnecessários, operado na infraestrutura do cliente.

Próximo passo

Se a sua organização mantém imagens Linux, pacotes ou servidores e quer reduzir o risco de binários privilegiados, envie uma breve descrição do seu ambiente e do que já é controlado hoje. Respondemos com uma proposta de escopo para diagnóstico e implementação.