Bug 15830 - ALT Linux Security packaging Policy violation
: ALT Linux Security packaging Policy violation
Status: CLOSED FIXED
: Sisyphus
(All bugs in Sisyphus/mpd)
: unstable
: all Linux
: P2 normal
Assigned To:
:
: http://docs.altlinux.ru/alt/devel/ch0...
:
:
: 15831
  Show dependency tree
 
Reported: 2008-05-29 13:58 by
Modified: 2008-07-21 05:58 (History)


Attachments


Note

You need to log in before you can comment on or make changes to this bug.


Description From 2008-05-29 13:58:06
%attr(755,%mpd_user,%mpd_group) %dir %_localstatedir/%name
%attr(755,%mpd_user,%mpd_group) %dir %_localstatedir/%name/playlists
%attr(755,%mpd_user,%mpd_group) %dir /var/run/%name
%attr(755,%mpd_user,%mpd_group) %dir %_logdir/%name

http://docs.altlinux.ru/alt/devel/ch01s03.html :

Пакеты НЕ ДОЛЖНЫ содержать каталоги, принадлежащие псевдо-пользователям. Вместо
этого следует использовать каталоги, принадлежащие root, с установленным sticky
bit и доступом группы по записи.

Обоснование: Псевдо-пользователь не должен иметь право изменять атрибуты
каталогов, а также файлы и каталоги, созданные другими пользователями; нарушение
этого правила, как правило приводит к возможности осуществления pseudouser/root
compromise.
------- Comment #1 From 2008-05-29 13:58:44 -------
reassign на текущего сборщика
------- Comment #2 From 2008-05-31 00:33:13 -------
(In reply to comment #0)

> Вместо
> этого следует использовать каталоги, принадлежащие root, с установленным 
sticky
> bit и доступом группы по записи.

Городить костыли согласно вышеприведённому желания у меня нет.
Кому из подписавшихся на багу передать пакет?
------- Comment #3 From 2008-05-31 12:46:59 -------
(In reply to comment #2)
> Городить костыли согласно вышеприведённому желания у меня нет.

"Соблюдать ключевое полиси ALT желания у меня нет". Может, проанонсируешь эжто 
более официально?
------- Comment #4 From 2008-06-02 00:13:41 -------
(In reply to comment #3)
> (In reply to comment #2)
> > Городить костыли согласно вышеприведённому желания у меня нет.
> 
> "Соблюдать ключевое полиси ALT желания у меня нет". Может, проанонсируешь 
эжто 
> более официально?

"Кому из подписавшихся на багу передать пакет?" - это было официально (а не то, 
что ты придумал)
------- Comment #5 From 2008-07-06 04:11:40 -------
fixed in mpd-0.13.2-alt1