ALT Linux Bugzilla – #12492

http://docs.altlinux.ru/alt/devel/ch01s03.html#id2884290:
Владельцы каталогов

Пакеты НЕ ДОЛЖНЫ содержать каталоги, принадлежащие псевдо-пользователям. Вместо
этого следует использовать каталоги, принадлежащие root, с установленным sticky
bit и доступом группы по записи. 

Обоснование: Псевдо-пользователь не должен иметь право изменять атрибуты
каталогов, а также файлы и каталоги, созданные другими пользователями; нарушение
этого правила, как правило приводит к возможности осуществления pseudouser/root
compromise.

# l /var/lib/ldap/
total 40
drwxr-xr-x  2 ldap ldap 4096 Aug  6 09:02 dev/
drwxr-xr-x  4 ldap ldap 4096 May 22 09:10 etc/
drwxr-x---  4 ldap ldap 4096 May 21 16:43 dblogs/
drwxrwx---  4 ldap ldap 4096 May 21 16:38 bases/
drwxr-xr-x  2 ldap ldap 4096 May 17 17:07 lib/
drwxr-xr-x 10 ldap ldap 4096 May 17 14:42 ./
drwxr-xr-x 11 root root 4096 May 17 14:42 ../
lrwxrwxrwx  1 ldap ldap    3 May 17 14:42 lib64 -> lib/
drwxr-xr-x  3 ldap ldap 4096 May 17 14:42 usr/
drwxr-xr-x  4 ldap ldap 4096 May 17 14:42 var/
drwxrwx---  2 ldap ldap 4096 Apr 19 04:40 replica/