[devel] I: brp-verify-unit: "... assumes overflowugid credentials"
Arseny Maslennikov
arseny на altlinux.org
Сб Фев 10 14:37:50 MSK 2024
Hi!
В опубликованный сегодня Sisyphus вошёл новый rpm-build:
> rpm-build - Scripts and executable programs used to build packages
> * Thu Jan 11 2024 Arseny Maslennikov <arseny на altlinux> 4.0.4.195-alt1
> - debuginfo: Changed compression format (--lzma2=dict=2MiB ->
> --check=crc32 --lzma2=dict=1MiB) of xz-compressed modules for compatibility
> with kmod >= 31 (thx asheplyakov@).
> - Introduced brp-verify-unit to check sanity of systemd units included
> in built packages.
Новый brp-модуль проверяет юниты systemd на вшивость. Пока он содержит
две проверки:
* <...>
* файл с systemd-юнитом, предусматривающим порождение процесса, не
должен запускать что-либо под nobody.
В результате сегодняшней тестовой пересборки обнаружилось[1] 5 пакетов,
содержащих systemd-юниты, предписывающие запускать что-либо под nobody.
[1] https://lore.altlinux.org/sisyphus-cybertalk/Zcb1ezIHJkgVff21@beehive.mskdc.altlinux.org/T/#u
Пакеты, перечисленные ниже, нужно исправить, убрав из директив User= и
Group= упоминания uid и gid 65534 и имени nobody.
Лучше всего завести им отдельного пользователя (и, в случае
mariadb-server-galera, группу). systemd поддерживает директиву
DynamicUser=, но я не видел её применения на практике в классических
дистрибутивах, кроме, может быть, юнитов к программам из состава проекта
systemd.
Под каждой цитатой из лога пересборки указан acl на пакет.
bozohttpd-20220517-alt1
044-verify-unit.brp: bad permissions on "/lib/systemd/system/bozohttpd на .service":
-rwxr-xr-x
044-verify-unit.brp: ERROR: "/lib/systemd/system/bozohttpd на .service" assumes overflowugid
credentials
bozohttpd george @everybody
gnunet-0.11.5-alt2
Verifying systemd units in /usr/src/tmp/gnunet-buildroot
044-verify-unit.brp: ERROR: "/lib/systemd/system/gnunetd.service" assumes overflowugid
credentials
gnunet lav viy @everybody
lizardfs-3.13.0-alt0.rc4.1
Verifying systemd units in /usr/src/tmp/lizardfs-buildroot
044-verify-unit.brp: ERROR: "/lib/systemd/system/lizardfs-cgiserv.service" assumes
overflowugid credentials
lizardfs andy @everybody
mariadb-10.11.6-alt1
Verifying systemd units in /usr/src/tmp/mariadb-buildroot
044-verify-unit.brp: ERROR: "/lib/systemd/system/mariadbcheck на .service" assumes
overflowugid credentials
mariadb shaba @everybody
xfsprogs-6.3.0-alt1
Verifying systemd units in /usr/src/tmp/xfsprogs-buildroot
044-verify-unit.brp: ERROR: "/lib/systemd/system/xfs_scrub на .service" assumes overflowugid
credentials
xfsprogs rider mike @qa
См. также: https://altlinux.org/NobodySubjectPolicy
----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя : signature.asc
Тип : application/pgp-signature
Размер : 833 байтов
Описание: отсутствует
Url : <http://lists.altlinux.org/pipermail/devel/attachments/20240210/65454751/attachment-0001.bin>
Подробная информация о списке рассылки Devel