At 13:16 Uhr +0200 17.05.2000, Matthias Strack wrote:

Gude,

At 13:14 17.05.2000 +0200, Rainer Hofmeister wrote:

...

Ich habe Amavis in Verbindung mit AVP installiert. Klappt gut. Jetzt gehen aber die procmail Regeln nicht mehr. Ich bekomme in der /var/log/messages die Meldung: "Insufficient privileges to deliver to testaccount". Laut dem BUGS file vom Amavis hat das damit zu tun, dass procmail mit den Privilegien des Users und nicht mit root-Privilegien gestartet wird. Ich habe das "o" lt. BUGS hinzugefuegt und etwaige "S" entfernt. Hat nichts gebracht.

ich hab mir damit geholfen das ich procmail das s bit spendiert hab. Also chmod +s /usr/bin/procmail und es funzt.

Was sagen die Sicherheitslueckenfetischisten dazu?

So funktionierts, danke! Mich wuerde aber auch interessieren ob ich mir damit irgendwelche grosse Sichereitsluecken aufmache? -Rainer --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com

Steffen Dettmer schrieb in 0,8K (26 Zeilen):

Wenn man sendmail verwendet, wurde procmail doch sowieso als root gestartet, oder?

Nein. -Wolfgang --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com

* Juergen Schwarting wrote on Mon, May 29, 2000 at 18:01 +0200:

* Am 29.05.2000 um 12:17 Uhr schrieb Wolfgang Weisselberg:

...

Steffen Dettmer schrieb in 0,8K (26 Zeilen):

...

Wenn man sendmail verwendet, wurde procmail doch sowieso als root gestartet, oder?

Nein.

Sicher? /etc/sendmail.cf: [...] ##### @(#)local.m4 8.30 (Berkeley) 6/30/1998 ##### Mlocal, P=/usr/bin/procmail, F=lsDFMAw5:/|@qSPfhn9, S=10/30, R=20/40, T=DNS/RFC822/X-Unix, A=procmail -Y -a $h -d $u [...]

falls dem so wäre, könnte man sich ja sehr elegant Rootrechte 'zuschustern'.

Beweis:

---[ ~/.procmailrc - schnipp ]--- :0 c: | id >/tmp/id.log ---[ schnapp ]---

So blöd ist procmail doch sowieso nicht: Procmail droppt dann natürlich normalerweise die Rechte: z.B.: Procmail either needs root privi­ leges, or must have the right (e)uid and (e)gid to run in deliv­ ery mode. und ~/.procmailrc ist auch nicht der "Beweis", das müßte in /etc/procmailrc stehen: The /etc/procmailrc file might be executed with root priv­ ileges, so be very careful of what you put in it. procmail -d (aus sendmail.rc) macht dann nämlich (danach?): -d recipient ... This turns on explicit delivery mode, delivery will be to the local user recipient. This, of course, only is possible if procmail has root privileges (or if procmail is already running with the recipient's euid and egid). Procmail will setuid to the intended recipients and delivers the mail as if it were invoked by the recipient with no arguments (i.e. if no rcfile is found, delivery is like ordinary mail). This option is incompatible with -p. also "nur" setuid. Es ging ja um: "chmod +s /usr/bin/procmail" und Sicherheitsrisiken. Die Frage bleibt IMHO immernoch :) oki, Steffen -- Dieses Schreiben wurde maschinell erstellt, es trägt daher weder Unterschrift noch Siegel. --------------------------------------------------------------------- To unsubscribe, e-mail: suse-linux-unsubscribe@suse.com For additional commands, e-mail: suse-linux-help@suse.com