Mailing-List: contact users-de-help@httpd.apache.org; run by ezmlm
Precedence: bulk
Reply-To: users-de@httpd.apache.org
Received-SPF: pass (athena.apache.org: local policy)
Message-ID: <49B18579.8030005@tibdefender.com>
Date: Fri, 06 Mar 2009 21:20:09 +0100
From: Andreas Kimpfler <webmaster@tibdefender.com>
Reply-To: webmaster@tibdefender.com
User-Agent: Thunderbird 2.0.0.19 (Windows/20081209)
MIME-Version: 1.0
To: users-de@httpd.apache.org
Subject: Frage zu suExec und Posix ACLs
Content-Type: text/plain; charset=ISO-8859-15
Content-Transfer-Encoding: 8bit

Hallo Liste,

ich bin gerade dabei mein kleines, privates Apache System neu zu
organisieren. Dabei sollen ein paar neue User auf das System Einzug
halten. Das Ziel ist das System mit suExec und fcgid zu erstellen um ein
bisschen in die Sicherheit zu investieren.
Das ganze funktioniert auch soweit, aber da ich auf dem gesamten System
Filesystem ACLs einsetze mag mich suExec nicht besonders gerne :)
Das Problem ist, das Verzeichnis und der FCGI Wrapper geh�ren dem User
root und dem jeweiligen User wird nur mittels einer ACL erlaubt das
Script auszuf�hren (--x). Bei dieser Konstellation beschwert sich suExec
dass das File und Verzeichnis nicht dem User geh�ren und verweigert
s�mtliche Arbeit:

target uid/gid (1234/5678) mismatch with directory (0/0) or program
(1234/5678)
target uid/gid (1234/5678) mismatch with directory (1234/5678) or
program (0/0)

Nach einigem googlen und dem durchsuchen der Apache Mailinglisten bin
ich darauf gestossen, dass dies bereits mal als Bug bei Apache 1.3
gemeldet wurde und dann wohl in mod_cgi bzw suExec gefixt wurde. Siehe
https://issues.apache.org/bugzilla/show_bug.cgi?id=17897
Deshalb meine Frage, warum pr�ft suExec hier nicht auf die Filesystem
ACLs obwohl diese ja in Ordnung sind, bzw. dies standardkonform ist ?
Und falls jemand schon mal genau das gleiche Problem hatte, wie hat er
dies gel�st ?

Viele Gr��e
Andreas

--------------------------------------------------------------------------
                Apache HTTP Server Mailing List "users-de" 
      unsubscribe-Anfragen an users-de-unsubscribe@httpd.apache.org
           sonstige Anfragen an users-de-help@httpd.apache.org
--------------------------------------------------------------------------