Re: [devel] [SCM] packages/avreg: heads/master

Re: [devel] [SCM] packages/avreg: heads/master

[Slava Semushin]

2008/7/4 Denis Klimov <zver / altlinux.org>:
> Update of /people/zver/packages/avreg.git
[...]
> --- a/avreg.spec
> +++ b/avreg.spec
> @@ -76,15 +76,15 @@ echo 'For install MySQL database run %_datadir/%name/create_db script'
>  %_sysconfdir/%name/masks
>  %_sysconfdir/%name/media
>  %_sysconfdir/%name/sounds
> -%_sysconfdir/%name/%name.conf
> +%attr(0640, root, %avreg_group) %_sysconfdir/%name/%name.conf
>  %_datadir/%name
>  %dir %attr(0755, root, root) %_sysconfdir/%name/profiles
>  %dir %attr(0775, root, %avreg_group) /var/lock/%name
>  %dir %attr(0775, root, %avreg_group) /var/run/%name
>  %dir %attr(0775, root, %avreg_group) /var/spool/%name
> -%dir %attr(0775, root, %avreg_group) /var/lib/%name
> -%dir %attr(0775, root, %avreg_group) /var/lib/%name/masks
> -%dir %attr(0775, root, %avreg_group) /var/lib/%name/sounds
> +%dir %attr(0755, %avreg_user, %avreg_group) /var/lib/%name
> +%dir %attr(0755, %avreg_user, %avreg_group) /var/lib/%name/masks
> +%dir %attr(0755, %avreg_user, %avreg_group) /var/lib/%name/sounds

Денис, это же ALT Linux Security packaging Policy violation. Вам это известно?

http://docs.altlinux.ru/alt/devel/ch01s03.html :

Пакеты НЕ ДОЛЖНЫ содержать каталоги, принадлежащие псевдо-пользователям. Вместо
этого следует использовать каталоги, принадлежащие root, с установленным sticky
bit и доступом группы по записи.

Обоснование: Псевдо-пользователь не должен иметь право изменять атрибуты
каталогов, а также файлы и каталоги, созданные другими пользователями; нарушение
этого правила, как правило приводит к возможности осуществления pseudouser/root
compromise.


-- 
+ Slava Semushin | slava.semushin @ gmail.com
+ ALT Linux Team | php-coder @ altlinux.ru

Re: [devel] [SCM] packages/avreg: heads/master

[Denis Klimov]

On Fri, 4 Jul 2008 12:00:13 +0700 Slava Semushin wrote:

> 
> Денис, это же ALT Linux Security packaging Policy violation. Вам это известно?
> 
> http://docs.altlinux.ru/alt/devel/ch01s03.html :
> 
> Пакеты НЕ ДОЛЖНЫ содержать каталоги, принадлежащие псевдо-пользователям. Вместо
> этого следует использовать каталоги, принадлежащие root, с установленным sticky
> bit и доступом группы по записи.
> 
> Обоснование: Псевдо-пользователь не должен иметь право изменять атрибуты
> каталогов, а также файлы и каталоги, созданные другими пользователями; нарушение
> этого правила, как правило приводит к возможности осуществления pseudouser/root
> compromise.
Да известно, но этот пакет не планируется отправлять в репозитарии ALT,
т.к. это не OSS. Делаю его по заказу и требование заказчика было
таковым. попытаюсь конечно его переубедить.

--
Denis Klimov 
zver