已开启
[L4] security: asc-devkit operator_deploy_permission_error.md 官方文档指导对系统目录 chmod 777 #1868
eieiei创建于 3 天前
lihuaichao
1 天前 评论：
1 天前 评论：
感谢反馈。经核查，文档中确实存在将 vendors 目录权限修改为 777 的建议。该方式授权范围过大，在多用户环境下可能允许非授权用户新增或重命名算子目录、替换加载配置，存在部署完整性风险，计划修正文档中的处理建议。
拟采取以下修改：
- 移除方法二中的 chmod 777 示例。
- 优先推荐使用 --install-path 安装到用户自有且权限受控的目录。
- 对默认路径下的共享部署，建议由 CANN 安装用户或管理员统一部署；确需授权其他用户时，遵循最小权限原则，仅向可信用户授予必要权限，并补充安全提示。
同时，原命令并非递归修改权限，不能直接认定所有已有算子库均可覆写。报告中的其他用户执行被篡改代码、数据被静默删除及凭据暴露等影响，目前尚未得到端到端验证，建议补充具体环境和复现证据，或收敛相关描述。本次确认的是文档中的不安全权限建议，完整攻击影响及定级仍需进一步证据支持。
1 天前 将 lihuaichao 设为负责人
1 天前 关联了pull request：docs: 修正算子部署权限不足的处理建议(#1868)
lihuaichao
19 小时前 评论：
19 小时前 评论：
您好，修改已经合入master，移除方法二中的 chmod 777 示例并优先推荐使用 --install-path 安装到用户自有且权限受控的目录。
如有其他问题，欢迎讨论。
[L4] security: asc-devkit operator_deploy_permission_error.md 官方文档指导对系统目录 chmod 777（mid-low）
仓库：cann/asc-devkit
位置：
docs/zh/guide/programming_guide/appendix/faq/operator_deploy_permission_error.md第 33 行模式：L4 风险类——官方文档指导对系统目录 chmod 777
定级依据：中低（文档指导类）
问题
诱导用户把 CANN 安装目录下的算子部署目录对所有用户开放写权限：任意本地用户可植入/替换 vendor 算子库，其他用户加载时执行被篡改代码；多用户服务器上风险尤高
危险操作原文：
chmod 777 /usr/local/Ascend/cann/opp/vendors/触发条件：FAQ 将“联系安装用户把 vendors 目录权限改为 777”作为算子部署权限报错的官方推荐解法（方法二），无任何风险提示；cannbot-knowledge 知识库 runbook（readonly_cann_opp_install_redirect.md:156）明确告诫共享目录 chmod -R 777 会破坏其他用户安装并会被安装器收回权限
复现路径
docs/zh/guide/programming_guide/appendix/faq/operator_deploy_permission_error.md:33（本地核查基线见 findings.json）；影响
诱导用户把 CANN 安装目录下的算子部署目录对所有用户开放写权限：任意本地用户可植入/替换 vendor 算子库，其他用户加载时执行被篡改代码；多用户服务器上风险尤高
建议修复
改为推荐 --install-path 指定用户可写目录（方法一）或对 vendors 子目录按组授权（如 chgrp+g+w、775），并在文档中说明 777 的风险；与知识库 runbook 口径对齐
查重结果
查重：asc-devkit 全量 1802 条 issue 中无 chmod/777 相关
本 issue 为 CANN 捉虫活动 L4（风险类）提交草稿，由只读扫描代理生成，主线程审核后提交。