home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #31 / NN_1992_31.iso / spool / comp / lang / perl / 7603 < prev    next >
Encoding:
Text File  |  1992-12-23  |  1.7 KB  |  35 lines
  1. Newsgroups: comp.lang.perl
  2. Path: sparky!uunet!wupost!darwin.sura.net!convex!convex!tchrist
  3. From: Tom Christiansen <tchrist@convex.COM>
  4. Subject: Re: setuid question
  5. Originator: tchrist@pixel.convex.com
  6. Sender: usenet@news.eng.convex.com (news access account)
  7. Message-ID: <1992Dec24.002750.11399@news.eng.convex.com>
  8. Date: Thu, 24 Dec 1992 00:27:50 GMT
  9. Reply-To: tchrist@convex.COM (Tom Christiansen)
  10. References: <1992Dec23.211810.9925@uvaarpa.Virginia.EDU> <1992Dec23.213406.22114@porthos.cc.bellcore.com> <1992Dec23.172428.8929@hemlock.cray.com>
  11. Nntp-Posting-Host: pixel.convex.com
  12. Organization: Convex Computer Corporation, Colorado Springs, CO
  13. X-Disclaimer: This message was written by a user at CONVEX Computer
  14.               Corp. The opinions expressed are those of the user and
  15.               not necessarily those of CONVEX.
  16. Lines: 17
  17.  
  18. From the keyboard of roehrich@cray.com (Dean Roehrich):
  19. :You must go one step beyond this, actually.  Taintperl will not execute
  20. :another process while the PATH environment variable is tainted.  By using
  21. :absolute pathnames you really do not address the problem as far as taintperl
  22. :is concerned.
  23.  
  24. That's due to the transitive property of insecurity.  While you may well
  25. call a program with an absolute pathname, you have no assurance that it
  26. will do the same with any programs which *it* calls.  In fact, they
  27. often do not -- check all the system() and popen() and execlp() calls.
  28.  
  29. --tom
  30. -- 
  31.     Tom Christiansen      tchrist@convex.com      convex!tchrist
  32.     And don't tell me there isn't one bit of difference between null and space,
  33.     because that's exactly how much difference there is.  :-)
  34.             --Larry Wall in <10209@jpl-devvax.JPL.NASA.GOV>
  35.