Re: wwsympa pas sympa.

[Olivier Salaun <adresse@cachée>]

"Pascal J. Bourguignon" wrote:
> 
> J'ai des problème pour faire fonctionner suid wwsympa.fcgi.
> [...]
> Quand  wwsympa.fcgi  n'est pas  suid,  il  n'arrive  pas a  créer  les
> répertoires de list lors de la création de liste :

Il n'y est pas autorisé puisque dans ce cas, le CGI s'exécute sous l'UID
nobody.nobody.

> Et quand il est suid :
> 
> [sympa@triton sympa]$ ls -ld expl cgi/wwsympa.fcgi
> -rwsr-xr-x    1 sympa    sympa      111945 Oct  9 03:16 cgi/wwsympa.fcgi*
> drwxrwxr-x    2 sympa    sympa        1024 Oct  8 05:12 expl/
> 
> Soit Sys::Hostname::hostname ne trouve pas d'hostname (croak avec perl
> 5.005), soit mkdir râle avec perl 5.6.0, etc :

Des détails ?

> Insecure dependency in mkdir while running setuid at 
> /var/lib/sympa/cgi/wwsympa.fcgi line 3204.
> [Mon Oct  9 04:20:23 2000] [error] [client 127.0.0.1] Premature end of 
> script headers: /var/lib/sympa/cgi/wwsympa.fcgi

C'est l'interpréteur Perl qui gueule car la variable $in{'listname'} est
entachée (tainted) :
mkdir ("$Conf{'home'}/$in{'listname'}",0777

Solution : appeler l'interpréteur Perl avec l'option -U (allows perl to
do unsafe operations)

--
Olivier Salaün
Comité Réseaux des Universités