[SOLUTION!] Sympa + FastCGI + SuExec + SUID

["Michel Bouissou" <adresse@cachée>]

Hourra!

J'ai enfin trouvé la solution de mon problème de FastCGI SuExec avec Sympa !

Rappelons le problème:

- Mon serveur Apache tourne sous UID nobody
- Sympa tourne sous UID sympa
- wwsympa.fcgi appartient à l'utilisateur sympa
- Un serveur virtuel sympa.mondomaine.com est défini pour sympa

J'arrivais à faire tourner sympa comme CGI "ordinaire", mais PAS comme 
FastCGI,
à cause de problèmes de droits et de profil d'exécution, en particulier à 
cause
de l'option "FastCgiSuExec" qui ne semblait pas fonctionner correctement chez
moi.

Mais j'ai enfin trouvé!

Dans ce contexte, voici comment ça peut marcher:

1) En CGI "ordinaire":
- Le serveur virtuel tourne sous UID et GID sympa
- ET wwsympa.fcgi n'est PAS SUID

-- OU --

- Le serveur virtuel tourne sous UID et GID nobody (comme le reste d'Apache)
- ET wwsympa.fcgi EST SUID

Comme ça, ça tourne.

2) Maintenant, en FastCGI, voici la SEULE solution qui fonctionne chez moi:
- FastCgiSuexec n'est PAS activé
- ET wwsympa.fcgi EST SUID
- Dans ce contexte, que le serveur virtuel tourne ou non UID/GID sympa n'a 
plus
d'incidence.

- Aucune autre combinaison ne fonctionne en FastCGI.

Voici donc la partie intéressante de la définition de mon serveur virtuel:

<VirtualHost xxx.yyy.zzz.ttt>
ServerName sympa.mondomaine.com
DocumentRoot /home/sympa/bin
FastCgiServer /home/sympa/bin/wwsympa.fcgi -processes 2
DirectoryIndex wwsympa.fcgi
<Directory /home/sympa/bin/>
Options ExecCGI Includes FollowSymLinks
AllowOverride None
AddHandler fastcgi-script .fcgi
</Directory>
ErrorLog logs/sympa/error_log
CustomLog logs/sympa/access_log combined
</VirtualHost>

et wwsympa.fcgi se présente comme suit:

-rwsr-xr-x    1 sympa    sympa    111831 jui 25 15:10 wwsympa.fcgi*

Je note que le passaage de CGI ordinaire à FastCGI accélère très sensiblement
et très visiblement les temps de réponse de wwsympa, je dirais au moins d'un
facteur 5 ou davantage, à vue de nez. Ca en vaut donc très largement la peine!

Je suggère que les prochaines versions de Sympa "livrent" wwsympa SUID sympa,
non?

Cordialement.

Michel Bouissou <adresse@cachée> PGP DH/DSS ID 0x5C2BEE8F
Network Administrator - Internet Quake - http://www.i-quake.com