Re: [sympa-fr] Avis du CERTA concernant Sympa

[Serge <adresse@cachée>]

Michel Bouissou wrote:

> Le Mardi 15 Février 2005 18:02, Aumont - Comite Reseaux des Universites a 
> écrit :
>  
>
> > La page www.sympa.org donne les patch à appliquer
> >    
>
> Après avoir consciencieusement patché et recompilé queue et bouncequeue (dont 
> la taille de l'exécutable se retrouve réduite de moitié au passage !?), quand 
> je balance un message dans le tuyau, j'obtiens dans ma log Postfix:
>
> status=bounced (Command died with status 255: "/usr/local/sympa/bin/queue 
> topless". Command output: SYMPA internal error : unable to open )
>
> J'ai du rater un truc ;-) Mais quoi ?
>
>  
Probablement tu as changé les acces : ces programmes doivent appartenir 
à sympa et avoir le bit s. Cette organisation vise justement à limiter 
conséquences d'une attaque qui exploiterait cette faille. En créant 
l'utilisateur sympa ont limite la portée de la faille à l'envirronement 
de Sympa et non à toute la machine.

Serge