[Date Prev][Date Next] [Thread Prev][Thread Next] [Date Index] [Thread Index]

Re: mailman/python - defuse rechte



Andreas Appenheimer wrote:

> Mit Verlaub, der Grund ist eher der, das ich glaube, es hat nix mit
> Python zu tun, trotzdem Danke für Dein Angebot...

Schauen kann man ja mal...

> IOError: [Errno 13] Permission denied:
> '/var/lib/mailman/data/pending_subscriptions.db'

Das ist schon sehr eindeutig - Python kann hier die entsprechende Datei
nicht öffnen, weil die Rechte nicht ausreichend sind. Wem gehören denn
die Dateien (uid/gid), ist im dem folgenden vielleicht von Interesse..

> error: target uid/gid (631/100) mismatch with directory (631/100) or
> program (631/33)

Ebenso hier: das Ziel (was auch immer das ist) und das Verzeichnis
(welches das auch ist) haben beide als gid die 100, das Programm selbst
aber die 33...

> ,---apache/error.log (untypischer Eintrag!):
> 
> Traceback (most recent call last):
>   File "/var/lib/mailman/bin/newlist", line 223, in ?
>     main()
>   File "/var/lib/mailman/bin/newlist", line 118, in main
>     os.setgid(mm_cfg.MAILMAN_GID)
> OSError: [Errno 1] Operation not permitted

Das ist ein Python-Traceback. Problem hier: mailman will die seine gid
auf die in der Config angegebene gid wechseln, das wird aber von
irgendeiner Stelle (suEXEC?) unterbunden.

> Auf der Webseite von Mailman habe ich dann etwas gelesen, das es aus
> Sicherheitsgründen nun so restriktiert sei.

Was ja auch Sinn macht :-)

> Da bei mir der Apache grundsätzlich mit dem Wrapper SuEXEC läuft,
> kollidiert das nun wiederum mit selbigem.

Offensichtlich stört sich der aber nur an der gid - spricht denn etwas
dagegen, alles auf eine gid zu setzen?

> Deswegen meine Skepsis, das es möglicherweise nicht an Mailman bzw. den
> Skripten liegt.

Du kannst natürlich versuchen, es einmal ohne SuEXEC laufen zu lassen.
Ich denke fast dort liegt das Problem, weil SuEXEC ja sehr restriktiv
ist (und auch sein muss, lange nichts mehr mit zu tun gehabt, aber ich
erinnere mich dunkel).

Werds bei Zeit auch mal ausprobieren :-)

Cheers,
Jan

Attachment: signature.asc
Description: OpenPGP digital signature


Reply to: