[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[debian-devel:12611] Re: (draft) [SECURITY] New version of canna released
むつみです。
>>>>> In [debian-devel : No.12601]
>>>>> Fumitoshi UKAI <ukai@debian.or.jp> wrote:
>> At Mon, 3 Jul 2000 23:00:15 +0900,
>> ISHIKAWA Mutsumi <ishikawa@xxxxxxxxxxx> wrote:
>> > 3) セキュリティ的には cannaserver を動かす専用 UID があった方が望まし
>> > いはずだが、現在の policy では各 パッケージが勝手に /etc/passwd と
>> > かにユーザを追加したりしてはいけない。base-files パッケージの
>> > メンテナに依頼が必要(でもって、そのメンテナが反応遅いんだこれ
>> > が。。。)。どう考えても時間がかかる。
>>
>> Debian Policy Manual 3.2. Users and groups
>>
>> 100-999:
>> Dynamically allocated system users and groups. Packages which
>> need a user or group, but can have this user or group allocated
>> dynamically and differently on each system, should use ``adduser
>> --system'' to create the group and/or user. `adduser' will check
>> for the existence of the user or group, and if necessary choose
>> an unused id based on the ranged specified in `adduser.conf'.
>>
>> ですから やりようによっては postinst で
>>
>> adduser --system canna
>>
>> じゃないすかね?
ふむ。まぁ やりようによっちゃ これで行けるっすね。
ただ、
>> # chown -R canna /var/lib/canna/dic/canna がいる?
これは 必要かな。あと /var/log/canna もかな。
>> もしくは Canna の default の bin.bin を使うとか
うーんと、それだとセキュリティホールが発見されて、なんか cannaserver
の権限で write() とかできちゃうようだと 他の bin.bin でアクセスできる
ファイルとかに 悪さできちゃう ので ナニ っすよね。
まぁ root.root よりは ぜんぜん 影響小さいですけど。
って言い出すと、daemon の類いは可能なら、それ独自の UID を持たせて
動かした方がいいってことになるかな。
--
いしかわ むつみ <ishikawa@xxxxxxxxxxx>