[todo] [Software 0000125]: Fehlermeldungen des passwd-Robots
enthalten das Passwort
todo-notifyer at hostsharing.net
todo-notifyer at hostsharing.net
Sat Aug 19 15:14:29 CEST 2006
Das folgende Problem wurde geschlossen.
======================================================================
https://todo.hostsharing.net/view.php?id=125
======================================================================
Berichtet von: paul
Zugewiesen an: _niemand
======================================================================
Projekt: Software
Problem ID: 125
Kategorie: Paketkonfiguration
Reproduzierbarkeit: immer
Auswirkung: schwerer Fehler
Priorität: dringend
Status: geschlossen
Lösung: erledigt
Erledigt in Version:
======================================================================
Erstellt am: 14.01.2003 20:31 (CET)
Letzte Aktualisierung: 19.08.2006 15:14 (CEST)
======================================================================
Zusammenfassung: Fehlermeldungen des passwd-Robots enthalten das
Passwort
Beschreibung:
Wenn beim Anlegen eines Paketusers ein Fehler (z.B. ein Doppelpunkt im
Passwort) in einer Zeile entdeckt wird, wird die ganze Zeile <b>inklusive
Passwort</b> in die config.err-Datei im Paket-~/var geschrieben, die
<b>group-readable</b> ist. Der Paketadmin kann die Zeile noch nicht einmal
löschen, da config.err root gehört.
======================================================================
----------------------------------------------------------------------
mi - 14.01.03 21:51
----------------------------------------------------------------------
Die config.err Dateien gehören nun dem Paket-Admin und nur der kann sie
lesen. Die Passworte auszublenden halte ich für keine gute Idee, weil das
Passwort evtl. gerade die Fehlerursache ist, oder die Zeile so "kaputt",
dass man das Passwort eh nicht rausfiltern könnte und es daher doch wieder
(für Menschen erkennbar) angezeigt würde.
----------------------------------------------------------------------
mi - 14.01.03 21:51
----------------------------------------------------------------------
Die config.err Dateien gehören nun dem Paket-Admin und nur der kann sie
lesen. Die Passworte auszublenden halte ich für keine gute Idee, weil das
Passwort evtl. gerade die Fehlerursache ist, oder die Zeile so "kaputt",
dass man das Passwort eh nicht rausfiltern könnte und es daher doch wieder
(für Menschen erkennbar) angezeigt würde.
----------------------------------------------------------------------
paul - 04.05.03 19:01
----------------------------------------------------------------------
Eben entdeckt: Zumindest in meinem Paket phi00 ist zwar config.err nicht
mehr world-readable, wohl aber config.err.gz:
| phi00-ph at pima:/home/pacs/phi00/var$ ls -la config.err*
| -rw------- 1 phi00 phi00 1 May 4 00:01 config.err
| -rw-r--r-- 1 root phi00 32 May 4 00:01 config.err.gz
----------------------------------------------------------------------
mi - 14.06.03 16:34
----------------------------------------------------------------------
Die config.err.gz gehören jetzt dem Paket-Admin, und nur der hat Rechte.
Das Rausfiltern des Passwortes ist schwierig, zumal auch das PAsswort ja
das Problem sein kann (z.B. Passwort mit ":").
----------------------------------------------------------------------
paul - 14.06.03 16:38
----------------------------------------------------------------------
Sehr schön, danke.
Problem-Historie
Änderungsdatum Benutzername Feld Änderung
======================================================================
19.08.06 11:24 mi Status geschlossen =>
zugewiesen
19.08.06 11:24 mi Bearbeitung durch mi => _niemand
19.08.06 15:14 mi Status zugewiesen =>
geschlossen
======================================================================
More information about the Todo
mailing list