Apache Virtual Host のディレクトリ毎に SuexecUserGroup は設定できないか？

Question

Httpd の設定で悩んでいます。

1個の VirtualHost 以下のサブディレクトリ毎に、CGIの実行ユーザを切り替えることは不可能でしょうか？

mod_suexec を使用し、V-Host毎に実行ユーザを切り替えることは可能なのですが...

Answer 1

https://httpd.apache.org/docs/2.4/en/mod/mod_userdir.html

UserDirを使うと、CGIはそのユーザーで実行されていたと思います。

ユースケースがわかりませんが、セキュリティ目的なのであれば必要性含めて十分検討してください。ディレクトリを分離してセキュリティ向上、のつもりがパーミッションが不適切で何の意味も無かった、という事例はままあります。

Comments

[sysyz]

なるほど、サブディレクトリをUserDir に割り当ててしまうわけですね。
~無しでアクセスできるようにすればうまくいきそうな気がします。

これまで、userA-example.com, userB-example.com 等でアクセスされていたサイトを、
example.com/userA, example.com/userB 等でアクセスできるように変更する必要があり悩んでいました。

[suzukis]

その構成だとcookie使っているとまずいことになります。サブドメインで分離する方が良いと思います。

[sysyz]

サブディレクトリでのアクセスは必須要件なんで変更できないんですよ。
なんで今更サブディレクトリなのかって話はありますが。

cookie の方の domain, path を変更することになりますね。
各サイトでは MT, WP 等のCMS、独自のPHPが使用されている程度なんで、設定変更（どのみち変更せねばならないんですし）程度で対応できるのではないかと思っています。

どちらかというと、~無しでのアクセスが上手くいくかのほうが心配です。
AliasMatch で存在する DocumentRoot以下のサブディレクトリを含めて上手くアクセスできるかが不安ですね。

[suzukis]

cookieのpath指定による制限は容易に回避可能で実質無意味です。

[sysyz]

うーん、RFC6265通りに動作するブラウザだけじゃないですしね。
それ言い出すとにっちもさっちもいかないですし。
そもそもがサーバ移転の案件ですし、今回はそこだけにこだわっても仕方ないでしょう。

[suzukis]

http://takagi-hiromitsu.jp/diary/20100501.html#p01

スマートフォンだったのでソースが提示できなかったのですがこの話です。

userAの管理者(やその権限を奪取した攻撃者)はuserAのサイトにアクセスしてきたブラウザに保存されているuserB、C…のcookieをpathによる制限を無視して取得できます。

ここは私もうろ覚えだったのですがcookieだけの問題でもありません。

これはRFCに違反するブラウザによる誤動作といった話ではなく正常な動作です。

[sysyz]

なるほど、この話ですね。ポインタ、ありがとうございます。
cookie だけというよりクロスサイトスクリプティングの問題のほうが大きいですね。XSS によって、cokie が取得できてしまう、という話ですね。

今回の案件は、1社のドメイン内に、別ドメインに分散されている各店の情報を集約し、各々のコンテンツベンダが管理するように変更するというものですので、これについては問題とはなりにくい状況です。
お気遣いありがとうございます。
本当は各店にサブドメイン振ってやるのがBestなんですけどね。
CDNを使うのに、ドメイン数×100万単位のランニングが発生するらしく、サブドメインでの運用は不可なんですよ。こんな案件もあるんですよね。

Answer 2

UserDir + mod_rewrite を使用して実現しました。
PHP も CGI 動作させ、全てユーザ権限で実行させることができました。