[devel] I: brp-verify-unit: "... assumes overflowugid credentials"

[Arseny Maslennikov <arseny@altlinux.org>]

[-- Attachment #1: Type: text/plain, Size: 3178 bytes --]

Hi!

В опубликованный сегодня Sisyphus вошёл новый rpm-build:
> rpm-build - Scripts and executable programs used to build packages
> * Thu Jan 11 2024 Arseny Maslennikov <arseny@altlinux> 4.0.4.195-alt1
> - debuginfo: Changed compression format (--lzma2=dict=2MiB ->
>   --check=crc32 --lzma2=dict=1MiB) of xz-compressed modules for compatibility
>   with kmod >= 31 (thx asheplyakov@).
> - Introduced brp-verify-unit to check sanity of systemd units included
>   in built packages.

Новый brp-модуль проверяет юниты systemd на вшивость. Пока он содержит
две проверки:
* <...>
* файл с systemd-юнитом, предусматривающим порождение процесса, не
  должен запускать что-либо под nobody.

В результате сегодняшней тестовой пересборки обнаружилось[1] 5 пакетов,
содержащих systemd-юниты, предписывающие запускать что-либо под nobody.

[1] https://lore.altlinux.org/sisyphus-cybertalk/Zcb1ezIHJkgVff21@beehive.mskdc.altlinux.org/T/#u

Пакеты, перечисленные ниже, нужно исправить, убрав из директив User= и
Group= упоминания uid и gid 65534 и имени nobody.
Лучше всего завести им отдельного пользователя (и, в случае
mariadb-server-galera, группу). systemd поддерживает директиву
DynamicUser=, но я не видел её применения на практике в классических
дистрибутивах, кроме, может быть, юнитов к программам из состава проекта
systemd.

Под каждой цитатой из лога пересборки указан acl на пакет.

bozohttpd-20220517-alt1
	044-verify-unit.brp: bad permissions on "/lib/systemd/system/bozohttpd@.service":
	-rwxr-xr-x
	044-verify-unit.brp: ERROR: "/lib/systemd/system/bozohttpd@.service" assumes overflowugid
	credentials
bozohttpd	george @everybody

gnunet-0.11.5-alt2
	Verifying systemd units in /usr/src/tmp/gnunet-buildroot
	044-verify-unit.brp: ERROR: "/lib/systemd/system/gnunetd.service" assumes overflowugid
	credentials
gnunet	lav viy @everybody

lizardfs-3.13.0-alt0.rc4.1
	Verifying systemd units in /usr/src/tmp/lizardfs-buildroot
	044-verify-unit.brp: ERROR: "/lib/systemd/system/lizardfs-cgiserv.service" assumes
	overflowugid credentials
lizardfs	andy @everybody

mariadb-10.11.6-alt1
	Verifying systemd units in /usr/src/tmp/mariadb-buildroot
	044-verify-unit.brp: ERROR: "/lib/systemd/system/mariadbcheck@.service" assumes
	overflowugid credentials
mariadb	shaba @everybody

xfsprogs-6.3.0-alt1
	Verifying systemd units in /usr/src/tmp/xfsprogs-buildroot
	044-verify-unit.brp: ERROR: "/lib/systemd/system/xfs_scrub@.service" assumes overflowugid
	credentials
xfsprogs	rider mike @qa

См. также: https://altlinux.org/NobodySubjectPolicy

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]