[Security-team] Dovecot deliver SGID

[=?iso-8859-1?q?bga_=CE=C1_altlinux=2Eorg?=]

On Fri, Dec 21, 2007 at 09:16:35PM +0300, bga на altlinux.org wrote:

> > > Не слишком ли это опрометчиво, разрешать локальным пользователям
> > > запускать SGID deliver?
> > 
> > А он вообще сделан с учётом такого использования?
> 
>   На вики такой случай описан:
>   http://wiki.dovecot.org/LDA (параграф "Multiple UIDs").
>   Однако там предполагается, что deliver будет запущен
>   псевдо-пользователем postfix, так что другим пользователям
>   запуск запрещён. А у нас доставка осуществляется с uid
>   получателя.

P.S. там deliver вообще сделан suid root, так что они верно
     опасаются:

    "However deliver isn't designed to be run as setuid-root, so you
     should take extra steps to make sure that untrusted users can't run
     it and potentially gain root privileges."

     Выходит, на вики описан не точно такой случай, как у меня.