Также актуально для Sisyphus. В составе squid есть pam_auth, который для нормальной работы должен быть setuid root, так как setgid не помогает (/etc/tcb для shadow и файлы в /etc/tcb для auth). В пакете он не setuid, поэтому не работает. Необходимо найти компромисс и правильно запаковать, чтобы аутентификация по PAM работала из поставки.
В tcb(5) написано: If a process needs to possess read-only access to all shadow files, it is sufficient to assign it supplementary groups "shadow" and "auth". Если нет возможности запустить процесс pam_auth, входящий в обе эти группы, то его придётся запускать рутом и потом в нём устанавливать группы и сбрасывать права.
Делаю squid вхожим в shadow, а pam_auth SGID auth. Кроме того, закрываю каталог с хелперами.
2.5.STABLE10-alt1
