Subject: suEXEC の導入とそれに伴う設定変更のお願い
From: "若葉" <[email-masked]>
Date: Mon, 15 Apr 2002 18:41:38 +0900
Newsgroups: suika.admin

兼ねてから再三しつこく申しておりますとおり、 suEXEC
を導入します。それにより、たぶんいま suika.fam.cx で動いている 
CGI/SSI は動かなくなると思うので、設定変更をお願いします。

1. SSI について

    いま suika.fam.cx で SSI を使っている人が (わかば以外に) いるのか
    いないのか知りませんから、簡単に説明します。詳しく知りたければ
    自分で調べるかわかばに聞いて下さい。
    
    1. いまは default on ですが、 default off にするので、
       .htaccess に使えるように書いとく必要があります。
    2. 自分のディレクトリより上の相対参照 (例: ../foo/bar)
       とか絶対参照 (例: /usr/bin) が使えなくなります。
    3. 引数つき命令実行 (例: <!--#exec cmd="foo.cgi foo"-->) 
       が使えなくなります。 (これは不便だなあ。)

2. CGI について

    1. CGI は所有者権限で実行されます。パーミッションを適当に
       設定してください。 (777 とか 600 とかいうあれです。)
       
       い: CGI と関連ファイルの所有者は本来の所有者 (nobody
           とかじゃなくて。) にして下さい。 (特に CGI が生成
           するデータ・ファイルに注意。)
       ろ: CGI は 755 辺りにしといて下さい。 (現状では
           other の x (実行) が立ってて 557 とか、 777 とか
           になってるんじゃないですかね? 実行権限は
           所有者だけで OK です。)
       は: 関連ファイルは 600 (所有者が読み書き可能) で十分
           です。 (現状では 606 とか 666 (world-writable)
           になってると思われ。)
       に: CGI の setUID ビットを立てていれば、それは
           落として下さいな。不要です。
       ほ: あまり無いとは思いますが、 CGI script 内部で
           現状のパーミッションに依存した処理をしているもの
           (例えば、データ・ファイルを作成した時に、その
           パーミッションを 666 に変えるとか。) は必要に
           応じて修正した方が良いと思います。

3. PHP について

    PHP は修正不要のはずです(仕様上)。逆にいうと今回の変更
    の恩恵は受けません。

決行(謎)期日は、4月末の連休か、5月始めの連休の前半を
予定しています。 (後半はテストなの:-<) もっと具体的な日は
前日発表でいいですかね? (遅いかな?)

なにか不明な点があったらわかばまでおたずね下さい。

あ、それと、念のため付け加えておきますが、 suEXEC は
安全度強化にはなりますが、絶対安全ではないことは
変わらないので、常に注意して頂きたいことも今まで通りであります。
また、この機会に、 CGI script などの安全性を再点検して
いただければと思っております。 (そこらで配布されている
CGI script などでも、クロスサイトスクリプチング脆弱性
みたいな問題が発見されているものも結構ありますから。)

わかば。