#60730 – run0: /etc/pam.d/systemd-run0 не использует common-login, в сессии не работают pam_mktemp и pam_limits

Bug 60730 - run0: /etc/pam.d/systemd-run0 не использует common-login, в сессии не работают pam_mktemp и pam_limits

Summary: run0: /etc/pam.d/systemd-run0 не использует common-login, в сессии не работаю...

Status:	CLOSED FIXED

Alias:	None

Product:	Sisyphus
Classification:	Development
Component:	systemd (show other bugs)
Version:	unstable
Hardware:	all Linux

Importance:	P5 normal
Assignee:	Alexey Shabalin
QA Contact:	qa-sisyphus

URL:
Keywords:

Depends on:
Blocks:

Reported:	2026-09-28 22:19 MSK by Egor Ignatov
Modified:	2026-10-13 22:28 MSK (History)
CC List:	2 users (show)

See Also:

Attachments
Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.

Description

Egor Ignatov 2026-09-28 22:19:12 MSK

Версия: systemd-260.4-alt2 (Sisyphus)

/etc/pam.d/systemd-run0 ставится из upstream (src/run/systemd-run0.in) без
изменений и не подключает common-login. Поэтому в сессиях run0 не работают
модули из system-auth-common, в частности pam_mktemp и pam_limits. Сессия
run0 получается не такой, как у su/sudo.

Заметнее всего это по TMPDIR. pam_mktemp не выставляет
TMPDIR=/tmp/.private/root, и /etc/profile.d/tmpdir.sh в login shell ставит
TMPDIR=$HOME/tmp, то есть /root/tmp.

Шаги воспроизведения:
  $ su - -c 'echo $TMPDIR'
  /tmp/.private/root
  $ run0 bash -lc 'echo $TMPDIR'
  /root/tmp

Ожидается: в сессии run0 TMPDIR (и лимиты из limits.conf) такие же, как у
su/sudo.

Пример последствий (если /root смонтирован с noexec): make-initrd в
интерактивной оболочке run0 падает на проверке рабочего каталога:
  make-initrd: /root/tmp: Unable to check executable bit
  make-initrd: Perhaps 'noexec' mount option used?

Для systemd-user это уже решено: вместо upstream-файла ставится
alt/systemd-user.pam с include common-login (Source14, systemd.spec:1103).
Возможные варианты для run0: сделать так же через common-login или добавить
в стек только pam_mktemp. Обратите внимание, что common-login заодно
подключит pam_nologin и system-policy.

Comment 1

Repository Robot 2026-10-13 22:28:23 MSK

systemd-1:262-alt1 -> sisyphus:

Tue Oct 13 2026 Egor Ignatov <egori@altlinux> 1:262-alt1
- 262.
- Split systemd-resolved out of systemd-networkd (closes: #60729):
  + enable systemd-resolved with systemd-networkd on new installations;
  + keep systemd-resolved state on upgrades;
  + systemd-resolved answers LLMNR on port 5355 by default.
- Drop systemd-timesyncd dependency on systemd-networkd.
- Wait for any link with DNS in altlinux-*resolv services (closes: #32470).
- Drop systemd dependency on systemd-boot-efi (closes: #52832):
  + systemd-ukify requires systemd-boot-efi for the EFI stubs now;
  + install systemd-boot-efi explicitly to use systemd-boot.
- Package systemd-firstboot without enabling it on first boot (closes: #60350).
- Own systemd-coredump@.service.wants directory (closes: #50781).
- Add pam_rootok and pam_umask to systemd-user PAM config.
- Use common-login in systemd-run0 PAM config (closes: #60730).
- Enable bpf-framework on x86_64 and aarch64:
  + systemd-nsresourced user namespace API;
  + RestrictFileSystems=, SocketBind*= and RestrictNetworkInterfaces=.
- Require libraries loaded via dlopen() since v261.
- Start systemd-coredump.socket when systemd-coredump is installed.
- Preset systemd-container units on first install: mountfsd, nsresourced, machines.target.
- Do not require swtpm-tools for systemd-tpm2-swtpm.service.
- Drop python3(zstd) from systemd-ukify dependencies.
- Set / permissions to 0555 by new upstream tmpfiles.d/root.conf.