[sisyphus] Q: apache and posix acl

[sisyphus] Q: apache and posix acl

[Vladimir Lettiev]

Столкнулся со странной проблемой.

Есть скрипт, написанный на перле (cgi-приложение), есть веб-сервер 
apache (1.3.31rusPL30.20-alt8).

Вот права с точки зрения ls:
# ls -l lenta.pl

-rwxrwx---  1 rogov rogov 6090 Май 12  2003 lenta.pl

Вот права с точки зрения системы (XFS + ACL):
# getfacl lenta.pl

# file: lenta.pl
# owner: rogov
# group: rogov
user::rwx
user:apache:r-x
group::rwx
group:webmaster:rwx
mask::rwx
other::---

Т.е. добавляем права на чтение и выполнение непосредственно пользователю 
apache.

Тем не менее, запуск скрипта не проходит. В логах апача запись:
file permissions deny server execution: ...../lenta.pl

Добавляем флаг выполнения для всех( # chmod o+x lenta.pl ) и всё 
начинает работать.

Пробовал давать группе apache права на rx -- не помогло. До тех пор пока 
не появиться флаг исполнения для всех, apache отказывается запускать 
файл на исполнение.

Если взглянуть на обычный html-документ:
# getfacl index.shtml

# file: index.shtml
# owner: rogov
# group: rogov
user::rw-
user:apache:r-x                 #effective:r--
group::r-x                      #effective:r--
group:webmaster:rwx             #effective:rw-
mask::rw-
other::---

то apache его открывает свободно.

Создаётся впечатление, что в коде апача присутствует проверка на 
возможность исполнения файла, но реализована она как-то не нормально.

Какие есть мнения?

-- 
С уважением, Владимир Леттиев aka crux <crux@syktsu.ru>

Re: [sisyphus] Q: apache and posix acl

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 605 bytes --]

On Thu, Aug 12, 2004 at 01:31:15PM +0400, Vladimir Lettiev wrote:
[]
> Пробовал давать группе apache права на rx -- не помогло. До тех пор пока 
> не появиться флаг исполнения для всех, apache отказывается запускать 
> файл на исполнение.
[]
> Создаётся впечатление, что в коде апача присутствует проверка на 
> возможность исполнения файла, но реализована она как-то не нормально.

Так и есть - ap_can_exec() проверяет права доступа самостоятельно.

http://archive.apache.org/gnats/5033

Более того, даже дополнительные группы могут не работать:

http://bugzilla.redhat.com/bugzilla/show_bug.cgi?id=5310

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Q: apache and posix acl

[Vladimir Lettiev]

Sergey Vlasov wrote:
>>Создаётся впечатление, что в коде апача присутствует проверка на 
>>возможность исполнения файла, но реализована она как-то не нормально.
> 
> Так и есть - ap_can_exec() проверяет права доступа самостоятельно.
> 
> http://archive.apache.org/gnats/5033

По этой ссылке даже патч предложен.
Будет ли он и использован в следующей сборке apache (это наверно 2Mike) 
или есть какие-то непреодолимые причины оставить всё как есть.

p.s. у себя попробую пересобрать apache с этим fix'ом.

-- 
С уважением, Владимир Леттиев aka crux <crux@syktsu.ru>

[sisyphus] Re: Q: apache and posix acl

[Michael Shigorin]

On Thu, Aug 12, 2004 at 03:07:54PM +0400, Vladimir Lettiev wrote:
> >http://archive.apache.org/gnats/5033
> По этой ссылке даже патч предложен.  Будет ли он и использован
> в следующей сборке apache (это наверно 2Mike) или есть какие-то
> непреодолимые причины оставить всё как есть.
> p.s. у себя попробую пересобрать apache с этим fix'ом.

Можно результаты со ссылкой в глюкозавра?  Спасибо.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Re: Q: apache and posix acl

[Vladimir Lettiev]

Michael Shigorin wrote:
> On Thu, Aug 12, 2004 at 03:07:54PM +0400, Vladimir Lettiev wrote:
> 
>>>http://archive.apache.org/gnats/5033
>>
>>По этой ссылке даже патч предложен.  Будет ли он и использован
>>в следующей сборке apache (это наверно 2Mike) или есть какие-то
>>непреодолимые причины оставить всё как есть.
>>p.s. у себя попробую пересобрать apache с этим fix'ом.
> 
> Можно результаты со ссылкой в глюкозавра?  Спасибо.
> 

Результат положительный - всё заработало как мне надо было.

Но, afair, такой специфический тип проверки является фичей секьюрного 
уклона. Возможно надо переделать патч так, чтобы проверка через вызов 
access() проводилась только если апаче собирается со специальной 
директивой, например,

#ifdef ACL_CHECK

bla-bla

#endif

И вставить такой код не в mod_cgi.c , а в main/util.c. Вобщем сделать по 
аналогии с директивой MULTIPLE_GROUP. Такая задачка мне не кажется 
тривиальной, сделать, наверно, не смогу.

p.s. Дубль этого сообщения отправлю в багозиллу чуть по позжа, вдруг ещё 
что-нибудь в голову придёт.

-- 
С уважением, Владимир Леттиев aka crux <crux@syktsu.ru>