home *** CD-ROM | disk | FTP | other *** search
/ Linux Cubed Series 7: Sunsite / Linux Cubed Series 7 - Sunsite Vol 1.iso / system / mail / readers / mailx-5.3b < prev    next >
Internet Message Format  |  1996-11-17  |  3KB
  1. From: Ian Jackson <ijackson@nyx.cs.du.edu>
  2. To: linux-announce@tc.cornell.edu
  3. Cc: Scott Adkins <sadkins@ohiou.edu>, Vince Skahan <vince@victrola.sea.wa.us>,
  4.     linux-adm@nic.funet.fi (Arl), Erik Troan <ewt@sunsite.unc.edu>
  5. Bcc: ijackson@nyx.cs.du.edu
  6. Subject: Setgid mailx is insecure - new version uploaded
  7. --text follows this line--
  8. -----BEGIN PGP SIGNED MESSAGE-----
  9.  
  10. Do NOT install the mailx in mailx-5.3a.tar.gz setgid mail as was
  11. recently recommended in the UUCP/News/Mail FAQ.
  12.  
  13. It takes none of the special precautions that a setgid program should.
  14. If you install it setgid mail any user will be able to interfere with
  15. the mail system, up to and beyond reading and deleting other users'
  16. mail.
  17.  
  18. I have made alterations to it that I think should solve this problem,
  19. by setting the gids to the real gid at the start of main() and only
  20. switching it back when necessary to do the locking in /usr/spool/mail.
  21.  
  22. I have uploaded the changed version, which includes both a statically
  23. and a dynamically linked binary (both against libc.so.4.3.3) in the
  24. tarfile to sunsite and funet, as mailx-5.3b.tar.gz.
  25.  
  26. The context diffs and my digital signature of the gzipped tarfile are
  27. available with the tarfile.
  28.  
  29. If you do not want to or are unable to install the new version
  30. immediately, but still need the functionality which is missing, you
  31. can try the BSD approach:
  32.   $ chmod 755 /bin/mail           [ or whatever you've called it ]
  33.   $ chmod 1777 /usr/spool/mail
  34. This sets /usr/spool/mail to be world-writeable but sticky-bitted,
  35. like /tmp.  That means anybody can create files but users can only
  36. delete files that they themselves own (e.g. their own mailbox or
  37. lockfiles).  This is certainly sub-optimal, but it means that users
  38. will be unable to mess things about /too/ much in the meantime.
  39.  
  40. The copyright notices on some of the files appeared to have become
  41. detached.  May I take this opportunity to remind people: If you mess
  42. around with a program, *preserve the copyright notices*.
  43.  
  44. Finally, I think I have ensured that it isn't now a security hole, and
  45. I've just installed it on my system, but don't hold me responsible if
  46. it goes wrong !
  47.  
  48. -----BEGIN PGP SIGNATURE-----
  49. Version: 2.2
  50.  
  51. iQCVAgUBLDDi4sMWjroj9a3bAQE3lgP+LWbJCBiD4+Amc0SBlufIH4oVIQxn0YNt
  52. 07FVdLZ+r0JG3i7CwUdXNbokO9sU4Y0R5+bF2+SXi6kCdRHEB1fx0BY/+Xu44ZgP
  53. 0GNWjrDxdRUVFIrhfsk1gA6Emb9rsD3H70a3T9O2rJ8YMWE2Y/wJOqZKblZd2j04
  54. FGmQMbCz2pw=
  55. =D0P6
  56. -----END PGP SIGNATURE-----
  57. --
  58. Ian Jackson  <ijackson@nyx.cs.du.edu> (non urgent email only - see below)
  59. home: 35 Molewood Close, Cambridge, CB4 3SR, England; phone: +44 223 327029
  60. work & urgent email: <iwj@cam-orl.co.uk> Olivetti Research Ltd; +44 223 343398
  61. PGP2 public key on request; fingerprint = 5906F687 BD03ACAD 0D8E602E FCF37657
  62.