Rootless Xorg
Der Linux VDA unterstützt den Betrieb von Xorg mit Benutzerprivilegien ohne Root-Rechte, auch bekannt als „Rootless“ Xorg. Rootless Xorg stellt eine erhebliche Sicherheitsverbesserung gegenüber dem Betrieb als Root dar.
Hinweis:
- Xorg unterstützt den Rootless-Betrieb auf Amazon Linux 2 oder RHEL 7 nicht.
- Rootless Xorg erfordert auch die Unterstützung des GPU-Treibers. Wenn Sie einen Remote PC Access VDA verwenden, testen und überprüfen Sie, ob Ihr GPU-Treiber Rootless Xorg unterstützt.
Rootless Xorg ist standardmäßig deaktiviert. Red Hat hat die Sicherheitslücke CVE-2024-31083 behoben, die Xorg-Server betrifft.
Um die Rootless Xorg-Funktionalität aufrechtzuerhalten, stellen Sie sicher, dass MIT-SHM in ICA®-Sitzungen funktioniert, indem Sie die folgenden Schritte ausführen:
-
Wenden Sie die
cap_ipc_owner-Funktion direkt auf die Xorg-ausführbare Datei an, nicht auf ein Wrapper-Skript, unter Verwendung der folgenden distributionsspezifischen Befehle:-
Ubuntu, Debian:
sudo setcap 'cap_ipc_owner=+ep' /usr/lib/xorg/Xorg -
RHEL, Rocky:
sudo setcap 'cap_ipc_owner=+ep' /usr/libexec/Xorg -
SUSE:
sudo setcap 'cap_ipc_owner=+ep' /usr/libexec/Xorg /usr/bin/Xorg
-
-
Aktivieren Sie Rootless Xorg mit dem folgenden Befehl:
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\System\CurrentControlSet\Control\Citrix\Xorg" -t "REG_DWORD" -v "Rootless" -d "1" --force <!--NeedCopy-->
Um Rootless Xorg zu deaktivieren, falls es bereits aktiviert ist, führen Sie Folgendes aus:
-
Führen Sie den folgenden Befehl aus, um die Funktion zu deaktivieren:
sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\System\CurrentControlSet\Control\Citrix\Xorg" -t "REG_DWORD" -v "Rootless" -d "0" --force <!--NeedCopy--> -
Entfernen Sie die
cap_ipc_owner-Funktion aus der Xorg-ausführbaren Datei mit den distributionsspezifischen Befehlen:- Ubuntu, Debian:
sudo setcap 'cap_ipc_owner=-ep' /usr/lib/xorg/Xorg - RHEL, Rocky:
sudo setcap 'cap_ipc_owner=-ep' /usr/libexec/Xorg - SUSE:
sudo setcap 'cap_ipc_owner=-ep' /usr/libexec/Xorg /usr/bin/Xorg
- Ubuntu, Debian: