Bug 9371

Summary:	запущенный из под пользователя courier демон не может авторизовать через pam
Product:	Sisyphus	Reporter:	Vadim Gusev <kopilo4ka>
Component:	courier-authlib	Assignee:	Konstantin A Lepikhov (L.A. Kostis) <lakostis>
Status:	CLOSED WONTFIX	QA Contact:	qa-sisyphus
Severity:	critical
Priority:	P1	CC:	lakostis
Version:	unstable
Hardware:	all
OS:	Linux

Description Vadim Gusev 2006-04-05 18:02:54 MSD

courier-authlib-0.58-alt2  
Есть версия поновее, но в Changelog нужных изменений не видно.  
  
Демон теперь запускается от пользователя courier и при авторизации через pam 
не получается получить доступ на imap-сервер. Если указываем пользователя 
root, тогда авторизация проходит нормально. Подробнее писал в рассылку сизифа, 
ответов было мало. 
http://lists.altlinux.ru/pipermail/sisyphus/2006-April/079913.html 
 
Было предложено занести пользователя courier в группу auth, чтобы он имел 
доступ на /etc/tcb/, но тогда появляется local-secure-уязвимость программы 
authtest, входящей в пакет.

Comment 1 Dmitry Lebkov 2006-04-29 17:07:30 MSD

Есть несколько путей решения данной проблемы:
1. Запускать courier-authdaemon от root
2. Добавить пользователя courier в группу auth
3. Настроить авторизацию доступа системных пользователей к почтовым
   ящикам средствами courier (ldap|sql|userdb).

Первые два варианта не безопасны. Последний - наиболее безопасен, т.к. позволяет
задавать пароли доступа к почте, отличные от паролей на доступ к системе. Более
подробно этот вариант постараюсь описать в README-ALT пакетов
courier-(authlib|imap).

Comment 2 Vadim Gusev 2006-09-11 18:18:53 MSD

userdb все равно не работает. Судя по strace оно читается, но никакой реакции.
'authtest henker' и 'userdb -show henker' в идеале показывают разное, первое 
врет. DEBUG_LOGIN=2 вообще ничего не пишет кроме connect/disconnect. maildrop 
теперь вообще не может подключится к сокету, ибо нет доступа.
drwx--x--- 2 courier courier 72 Сен 11 18:09 /var/lib/courier-authlib/
Пришлось пока все вернуть по старому, демон запущен из под рута, дан доступ к 
сокету.