rubbos/app/httpd-2.0.64/docs/manual/suexec.html.en

   1 <?xml version="1.0" encoding="ISO-8859-1"?>
   2 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
   3 <html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en"><head><!--
   4         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   5               This file is generated from xml source: DO NOT EDIT
   6         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   7       -->
   8 <title>suEXEC Support - Apache HTTP Server</title>
   9 <link href="./style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" />
  10 <link href="./style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" />
  11 <link href="./style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" />
  12 <link href="./images/favicon.ico" rel="shortcut icon" /></head>
  13 <body id="manual-page"><div id="page-header">
  14 <p class="menu"><a href="./mod/">Modules</a> | <a href="./mod/directives.html">Directives</a> | <a href="./faq/">FAQ</a> | <a href="./glossary.html">Glossary</a> | <a href="./sitemap.html">Sitemap</a></p>
  15 <p class="apache">Apache HTTP Server Version 2.0</p>
  16 <img alt="" src="./images/feather.gif" /></div>
  17 <div class="up"><a href="./"><img title="&lt;-" alt="&lt;-" src="./images/left.gif" /></a></div>
  18 <div id="path">
  19 <a href="http://www.apache.org/">Apache</a> &gt; <a href="http://httpd.apache.org/">HTTP Server</a> &gt; <a href="http://httpd.apache.org/docs/">Documentation</a> &gt; <a href="./">Version 2.0</a></div><div id="page-content"><div id="preamble"><h1>suEXEC Support</h1>
  20 <div class="toplang">
  21 <p><span>Available Languages: </span><a href="./en/suexec.html" title="English">&nbsp;en&nbsp;</a> |
  22 <a href="./ja/suexec.html" hreflang="ja" rel="alternate" title="Japanese">&nbsp;ja&nbsp;</a> |
  23 <a href="./ko/suexec.html" hreflang="ko" rel="alternate" title="Korean">&nbsp;ko&nbsp;</a> |
  24 <a href="./tr/suexec.html" hreflang="tr" rel="alternate" title="Türkçe">&nbsp;tr&nbsp;</a></p>
  25 </div>
  26
  27     <p>The <strong>suEXEC</strong> feature provides
  28     Apache users the ability
  29     to run <strong>CGI</strong> and <strong>SSI</strong> programs
  30     under user IDs different from the user ID of the calling
  31     web server. Normally, when a CGI or SSI program executes, it
  32     runs as the same user who is running the web server.</p>
  33
  34     <p>Used properly, this feature can reduce
  35     considerably the security risks involved with allowing users to
  36     develop and run private CGI or SSI programs. However, if suEXEC
  37     is improperly configured, it can cause any number of problems
  38     and possibly create new holes in your computer's security. If
  39     you aren't familiar with managing <em>setuid root</em> programs
  40     and the security issues they present, we highly recommend that
  41     you not consider using suEXEC.</p>
  42   </div>
  43 <div id="quickview"><ul id="toc"><li><img alt="" src="./images/down.gif" /> <a href="#before">Before we begin</a></li>
  44 <li><img alt="" src="./images/down.gif" /> <a href="#model">suEXEC Security Model</a></li>
  45 <li><img alt="" src="./images/down.gif" /> <a href="#install">Configuring &amp; Installing
  46     suEXEC</a></li>
  47 <li><img alt="" src="./images/down.gif" /> <a href="#enable">Enabling &amp; Disabling
  48     suEXEC</a></li>
  49 <li><img alt="" src="./images/down.gif" /> <a href="#usage">Using suEXEC</a></li>
  50 <li><img alt="" src="./images/down.gif" /> <a href="#debug">Debugging suEXEC</a></li>
  51 <li><img alt="" src="./images/down.gif" /> <a href="#jabberwock">Beware the Jabberwock:
  52     Warnings &amp; Examples</a></li>
  53 </ul></div>
  54 <div class="top"><a href="#page-header"><img alt="top" src="./images/up.gif" /></a></div>
  55 <div class="section">
  56 <h2><a name="before" id="before">Before we begin</a></h2>
  57
  58     <p>Before jumping head-first into this document,
  59     you should be aware of the assumptions made on the part of the
  60     Apache Group and this document.</p>
  61
  62     <p>First, it is assumed that you are using a UNIX
  63     derivative operating system that is capable of
  64     <strong>setuid</strong> and <strong>setgid</strong> operations.
  65     All command examples are given in this regard. Other platforms,
  66     if they are capable of supporting suEXEC, may differ in their
  67     configuration.</p>
  68
  69     <p>Second, it is assumed you are familiar with
  70     some basic concepts of your computer's security and its
  71     administration. This involves an understanding of
  72     <strong>setuid/setgid</strong> operations and the various
  73     effects they may have on your system and its level of
  74     security.</p>
  75
  76     <p>Third, it is assumed that you are using an
  77     <strong>unmodified</strong> version of suEXEC code. All code
  78     for suEXEC has been carefully scrutinized and tested by the
  79     developers as well as numerous beta testers. Every precaution
  80     has been taken to ensure a simple yet solidly safe base of
  81     code. Altering this code can cause unexpected problems and new
  82     security risks. It is <strong>highly</strong> recommended you
  83     not alter the suEXEC code unless you are well versed in the
  84     particulars of security programming and are willing to share
  85     your work with the Apache Group for consideration.</p>
  86
  87     <p>Fourth, and last, it has been the decision of
  88     the Apache Group to <strong>NOT</strong> make suEXEC part of
  89     the default installation of Apache. To this end, suEXEC
  90     configuration requires of the administrator careful attention
  91     to details. After due consideration has been given to the
  92     various settings for suEXEC, the administrator may install
  93     suEXEC through normal installation methods. The values for
  94     these settings need to be carefully determined and specified by
  95     the administrator to properly maintain system security during
  96     the use of suEXEC functionality. It is through this detailed
  97     process that the Apache Group hopes to limit suEXEC
  98     installation only to those who are careful and determined
  99     enough to use it.</p>
 100
 101     <p>Still with us? Yes? Good. Let's move on!</p>
 102 </div><div class="top"><a href="#page-header"><img alt="top" src="./images/up.gif" /></a></div>
 103 <div class="section">
 104 <h2><a name="model" id="model">suEXEC Security Model</a></h2>
 105
 106     <p>Before we begin configuring and installing
 107     suEXEC, we will first discuss the security model you are about
 108     to implement. By doing so, you may better understand what
 109     exactly is going on inside suEXEC and what precautions are
 110     taken to ensure your system's security.</p>
 111
 112     <p><strong>suEXEC</strong> is based on a setuid
 113     "wrapper" program that is called by the main Apache web server.
 114     This wrapper is called when an HTTP request is made for a CGI
 115     or SSI program that the administrator has designated to run as
 116     a userid other than that of the main server. When such a
 117     request is made, Apache provides the suEXEC wrapper with the
 118     program's name and the user and group IDs under which the
 119     program is to execute.</p>
 120
 121     <p>The wrapper then employs the following process
 122     to determine success or failure -- if any one of these
 123     conditions fail, the program logs the failure and exits with an
 124     error, otherwise it will continue:</p>
 125
 126     <ol>
 127       <li>
 128         <strong>Is the user executing this wrapper a valid user of
 129         this system?</strong>
 130
 131         <p class="indent">
 132           This is to ensure that the user executing the wrapper is
 133           truly a user of the system.
 134         </p>
 135      </li>
 136
 137      <li>
 138         <strong>Was the wrapper called with the proper number of
 139         arguments?</strong>
 140
 141         <p class="indent">
 142           The wrapper will only execute if it is given the proper
 143           number of arguments. The proper argument format is known
 144           to the Apache web server. If the wrapper is not receiving
 145           the proper number of arguments, it is either being
 146           hacked, or there is something wrong with the suEXEC
 147           portion of your Apache binary.
 148         </p>
 149       </li>
 150
 151       <li>
 152         <strong>Is this valid user allowed to run the
 153         wrapper?</strong>
 154
 155         <p class="indent">
 156           Is this user the user allowed to run this wrapper? Only
 157           one user (the Apache user) is allowed to execute this
 158           program.
 159         </p>
 160       </li>
 161
 162       <li>
 163         <strong>Does the target CGI or SSI program have an unsafe
 164         hierarchical reference?</strong>
 165
 166         <p class="indent">
 167           Does the target CGI or SSI program's path contain a leading
 168           '/' or have a '..' backreference? These are not allowed; the
 169           target CGI/SSI program must reside within suEXEC's document
 170           root (see <code>--with-suexec-docroot=<em>DIR</em></code>
 171           below).
 172         </p>
 173       </li>
 174
 175       <li>
 176         <strong>Is the target user name valid?</strong>
 177
 178         <p class="indent">
 179           Does the target user exist?
 180         </p>
 181       </li>
 182
 183       <li>
 184         <strong>Is the target group name valid?</strong>
 185
 186         <p class="indent">
 187           Does the target group exist?
 188         </p>
 189       </li>
 190
 191       <li>
 192         <strong>Is the target user <em>NOT</em> superuser?</strong>
 193
 194
 195         <p class="indent">
 196           Presently, suEXEC does not allow <code><em>root</em></code>
 197           to execute CGI/SSI programs.
 198         </p>
 199       </li>
 200
 201       <li>
 202         <strong>Is the target userid <em>ABOVE</em> the minimum ID
 203         number?</strong>
 204
 205         <p class="indent">
 206           The minimum user ID number is specified during
 207           configuration. This allows you to set the lowest possible
 208           userid that will be allowed to execute CGI/SSI programs.
 209           This is useful to block out "system" accounts.
 210         </p>
 211       </li>
 212
 213       <li>
 214         <strong>Is the target group <em>NOT</em> the superuser
 215         group?</strong>
 216
 217         <p class="indent">
 218           Presently, suEXEC does not allow the <code><em>root</em></code>
 219           group to execute CGI/SSI programs.
 220         </p>
 221       </li>
 222
 223       <li>
 224         <strong>Is the target groupid <em>ABOVE</em> the minimum ID
 225         number?</strong>
 226
 227         <p class="indent">
 228           The minimum group ID number is specified during
 229           configuration. This allows you to set the lowest possible
 230           groupid that will be allowed to execute CGI/SSI programs.
 231           This is useful to block out "system" groups.
 232         </p>
 233       </li>
 234
 235       <li>
 236         <strong>Can the wrapper successfully become the target user
 237         and group?</strong>
 238
 239         <p class="indent">
 240           Here is where the program becomes the target user and
 241           group via setuid and setgid calls. The group access list
 242           is also initialized with all of the groups of which the
 243           user is a member.
 244         </p>
 245       </li>
 246
 247       <li>
 248         <strong>Can we change directory to the one in which the target
 249         CGI/SSI program resides?</strong>
 250
 251         <p class="indent">
 252           If it doesn't exist, it can't very well contain files. If we
 253           can't change directory to it, it might aswell not exist.
 254         </p>
 255       </li>
 256
 257       <li>
 258         <strong>Is the directory within the Apache
 259         webspace?</strong>
 260
 261         <p class="indent">
 262           If the request is for a regular portion of the server, is
 263           the requested directory within suEXEC's document root? If
 264           the request is for a <code class="directive"><a href="./mod/mod_userdir.html#userdir">UserDir</a></code>, is the requested directory
 265           within the directory configured as suEXEC's userdir (see
 266           <a href="#install">suEXEC's configuration options</a>)?
 267         </p>
 268       </li>
 269
 270       <li>
 271         <strong>Is the directory <em>NOT</em> writable by anyone
 272         else?</strong>
 273
 274         <p class="indent">
 275           We don't want to open up the directory to others; only
 276           the owner user may be able to alter this directories
 277           contents.
 278         </p>
 279       </li>
 280
 281       <li>
 282         <strong>Does the target CGI/SSI program exist?</strong>
 283
 284         <p class="indent">
 285           If it doesn't exists, it can't very well be executed.
 286         </p>
 287       </li>
 288
 289       <li>
 290         <strong>Is the target CGI/SSI program <em>NOT</em> writable
 291         by anyone else?</strong>
 292
 293         <p class="indent">
 294           We don't want to give anyone other than the owner the
 295           ability to change the CGI/SSI program.
 296         </p>
 297       </li>
 298
 299       <li>
 300         <strong>Is the target CGI/SSI program <em>NOT</em> setuid or
 301         setgid?</strong>
 302
 303         <p class="indent">
 304           We do not want to execute programs that will then change
 305           our UID/GID again.
 306         </p>
 307       </li>
 308
 309       <li>
 310         <strong>Is the target user/group the same as the program's
 311         user/group?</strong>
 312
 313         <p class="indent">
 314           Is the user the owner of the file?
 315         </p>
 316       </li>
 317
 318       <li>
 319         <strong>Can we successfully clean the process environment
 320         to ensure safe operations?</strong>
 321
 322         <p class="indent">
 323           suEXEC cleans the process' environment by establishing a
 324           safe execution PATH (defined during configuration), as
 325           well as only passing through those variables whose names
 326           are listed in the safe environment list (also created
 327           during configuration).
 328         </p>
 329       </li>
 330
 331       <li>
 332         <strong>Can we successfully become the target CGI/SSI program
 333         and execute?</strong>
 334
 335         <p class="indent">
 336           Here is where suEXEC ends and the target CGI/SSI program begins.
 337         </p>
 338       </li>
 339     </ol>
 340
 341     <p>This is the standard operation of the
 342     suEXEC wrapper's security model. It is somewhat stringent and
 343     can impose new limitations and guidelines for CGI/SSI design,
 344     but it was developed carefully step-by-step with security in
 345     mind.</p>
 346
 347     <p>For more information as to how this security
 348     model can limit your possibilities in regards to server
 349     configuration, as well as what security risks can be avoided
 350     with a proper suEXEC setup, see the <a href="#jabberwock">"Beware the Jabberwock"</a> section of this
 351     document.</p>
 352 </div><div class="top"><a href="#page-header"><img alt="top" src="./images/up.gif" /></a></div>
 353 <div class="section">
 354 <h2><a name="install" id="install">Configuring &amp; Installing
 355     suEXEC</a></h2>
 356
 357     <p>Here's where we begin the fun.</p>
 358
 359     <p><strong>suEXEC configuration
 360     options</strong><br />
 361     </p>
 362
 363     <dl>
 364       <dt><code>--enable-suexec</code></dt>
 365
 366       <dd>This option enables the suEXEC feature which is never
 367       installed or activated by default. At least one
 368       <code>--with-suexec-xxxxx</code> option has to be provided
 369       together with the <code>--enable-suexec</code> option to let
 370       APACI accept your request for using the suEXEC feature.</dd>
 371
 372       <dt><code>--with-suexec-bin=<em>PATH</em></code></dt>
 373
 374       <dd>The path to the <code>suexec</code> binary must be hard-coded
 375       in the server for security reasons. Use this option to override
 376       the default path. <em>e.g.</em>
 377       <code>--with-suexec-bin=/usr/bin/suexec</code></dd>
 378
 379       <dt><code>--with-suexec-caller=<em>UID</em></code></dt>
 380
 381       <dd>The <a href="mod/mpm_common.html#user">username</a> under which
 382       Apache normally runs. This is the only user allowed to
 383       execute this program.</dd>
 384
 385       <dt><code>--with-suexec-userdir=<em>DIR</em></code></dt>
 386
 387       <dd>Define to be the subdirectory under users' home
 388       directories where suEXEC access should be allowed. All
 389       executables under this directory will be executable by suEXEC
 390       as the user so they should be "safe" programs. If you are
 391       using a "simple" <code class="directive"><a href="./mod/mod_userdir.html#userdir">UserDir</a></code>
 392       directive (ie. one without a "*" in it) this should be set to the same
 393       value. suEXEC will not work properly in cases where the <code class="directive"><a href="./mod/mod_userdir.html#userdir">UserDir</a></code> directive points to
 394       a location that is not the same as the user's home directory
 395       as referenced in the <code>passwd</code> file. Default value is
 396       "<code>public_html</code>".<br />
 397       If you have virtual hosts with a different <code class="directive"><a href="./mod/mod_userdir.html#userdir">UserDir</a></code> for each,
 398       you will need to define them to all reside in one parent
 399       directory; then name that parent directory here. <strong>If
 400       this is not defined properly, "~userdir" cgi requests will
 401       not work!</strong></dd>
 402
 403       <dt><code>--with-suexec-docroot=<em>DIR</em></code></dt>
 404
 405       <dd>Define as the DocumentRoot set for Apache. This will be
 406       the only hierarchy (aside from <code class="directive"><a href="./mod/mod_userdir.html#userdir">UserDir</a></code>s) that can be used for suEXEC behavior. The
 407       default directory is the <code>--datadir</code> value with the suffix
 408       "<code>/htdocs</code>", <em>e.g.</em> if you configure with
 409       "<code>--datadir=/home/apache</code>" the directory
 410       "<code>/home/apache/htdocs</code>" is used as document root for the
 411       suEXEC wrapper.</dd>
 412
 413       <dt><code>--with-suexec-uidmin=<em>UID</em></code></dt>
 414
 415       <dd>Define this as the lowest UID allowed to be a target user
 416       for suEXEC. For most systems, 500 or 100 is common. Default
 417       value is 100.</dd>
 418
 419       <dt><code>--with-suexec-gidmin=<em>GID</em></code></dt>
 420
 421       <dd>Define this as the lowest GID allowed to be a target
 422       group for suEXEC. For most systems, 100 is common and
 423       therefore used as default value.</dd>
 424
 425       <dt><code>--with-suexec-logfile=<em>FILE</em></code></dt>
 426
 427       <dd>This defines the filename to which all suEXEC
 428       transactions and errors are logged (useful for auditing and
 429       debugging purposes). By default the logfile is named
 430       "<code>suexec_log</code>" and located in your standard logfile
 431       directory (<code>--logfiledir</code>).</dd>
 432
 433       <dt><code>--with-suexec-safepath=<em>PATH</em></code></dt>
 434
 435       <dd>Define a safe PATH environment to pass to CGI
 436       executables. Default value is
 437       "<code>/usr/local/bin:/usr/bin:/bin</code>".</dd>
 438     </dl>
 439
 440     <h3>Compiling and installing the suEXEC wrapper</h3>
 441
 442
 443       <p>If you have enabled the suEXEC feature with the
 444       <code>--enable-suexec</code> option the <code>suexec</code> binary
 445       (together with Apache itself) is automatically built if you execute
 446       the <code>make</code> command.</p>
 447
 448       <p>After all components have been built you can execute the
 449       command <code>make install</code> to install them. The binary image
 450       <code>suexec</code> is installed in the directory defined by the
 451       <code>--sbindir</code> option. The default location is
 452       "/usr/local/apache2/bin/suexec".</p>
 453
 454       <p>Please note that you need <strong><em>root
 455       privileges</em></strong> for the installation step. In order
 456       for the wrapper to set the user ID, it must be installed as
 457       owner <code><em>root</em></code> and must have the setuserid
 458       execution bit set for file modes.</p>
 459
 460
 461     <h3>Setting paranoid permissions</h3>
 462
 463
 464       <p>Although the suEXEC wrapper will check to ensure that its
 465       caller is the correct user as specified with the
 466       <code>--with-suexec-caller</code> <code class="program"><a href="./programs/configure.html">configure</a></code>
 467       option, there is
 468       always the possibility that a system or library call suEXEC uses
 469       before this check may be exploitable on your system. To counter
 470       this, and because it is best-practise in general, you should use
 471       filesystem permissions to ensure that only the group Apache
 472       runs as may execute suEXEC.</p>
 473
 474       <p>If for example, your web server is configured to run as:</p>
 475
 476       <div class="example"><p><code>
 477           User www<br />
 478           Group webgroup<br />
 479       </code></p></div>
 480
 481       <p>and <code class="program"><a href="./programs/suexec.html">suexec</a></code> is installed at
 482       "/usr/local/apache2/bin/suexec", you should run:</p>
 483
 484       <div class="example"><p><code>
 485           chgrp webgroup /usr/local/apache2/bin/suexec<br />
 486           chmod 4750 /usr/local/apache2/bin/suexec<br />
 487       </code></p></div>
 488
 489       <p>This will ensure that only the group Apache runs as can even
 490       execute the suEXEC wrapper.</p>
 491
 492 </div><div class="top"><a href="#page-header"><img alt="top" src="./images/up.gif" /></a></div>
 493 <div class="section">
 494 <h2><a name="enable" id="enable">Enabling &amp; Disabling
 495     suEXEC</a></h2>
 496
 497     <p>Upon startup of Apache, it looks for the file
 498     <code class="program"><a href="./programs/suexec.html">suexec</a></code> in the directory defined by the
 499     <code>--sbindir</code> option (default is
 500     "/usr/local/apache/bin/suexec"). If Apache finds a properly
 501     configured suEXEC wrapper, it will print the following message
 502     to the error log:</p>
 503
 504 <div class="example"><p><code>
 505     [notice] suEXEC mechanism enabled (wrapper: <var>/path/to/suexec</var>)
 506 </code></p></div>
 507
 508     <p>If you don't see this message at server startup, the server is
 509     most likely not finding the wrapper program where it expects
 510     it, or the executable is not installed <em>setuid root</em>.</p>
 511
 512      <p>If you want to enable the suEXEC mechanism for the first time
 513     and an Apache server is already running you must kill and
 514     restart Apache. Restarting it with a simple HUP or USR1 signal
 515     will not be enough. </p>
 516      <p>If you want to disable suEXEC you should kill and restart
 517     Apache after you have removed the <code class="program"><a href="./programs/suexec.html">suexec</a></code> file.</p>
 518 </div><div class="top"><a href="#page-header"><img alt="top" src="./images/up.gif" /></a></div>
 519 <div class="section">
 520 <h2><a name="usage" id="usage">Using suEXEC</a></h2>
 521
 522     <p>Requests for CGI programs will call the suEXEC wrapper only if
 523     they are for a virtual host containing a <code class="directive"><a href="./mod/mod_suexec.html#suexecusergroup">SuexecUserGroup</a></code> directive or if
 524     they are processed by <code class="module"><a href="./mod/mod_userdir.html">mod_userdir</a></code>.</p>
 525
 526     <p><strong>Virtual Hosts:</strong><br /> One way to use the suEXEC
 527     wrapper is through the <code class="directive"><a href="./mod/mod_suexec.html#suexecusergroup">SuexecUserGroup</a></code> directive in
 528     <code class="directive"><a href="./mod/core.html#virtualhost">VirtualHost</a></code> definitions.  By
 529     setting this directive to values different from the main server
 530     user ID, all requests for CGI resources will be executed as the
 531     <em>User</em> and <em>Group</em> defined for that <code class="directive"><a href="./mod/core.html#virtualhost">&lt;VirtualHost&gt;</a></code>. If this
 532     directive is not specified for a <code class="directive"><a href="./mod/core.html#virtualhost">&lt;VirtualHost&gt;</a></code> then the main server userid
 533     is assumed.</p>
 534
 535     <p><strong>User directories:</strong><br /> Requests that are
 536      processed by <code class="module"><a href="./mod/mod_userdir.html">mod_userdir</a></code> will call the suEXEC
 537      wrapper to execute CGI programs under the userid of the requested
 538      user directory.  The only requirement needed for this feature to
 539      work is for CGI execution to be enabled for the user and that the
 540      script must meet the scrutiny of the <a href="#model">security
 541      checks</a> above.  See also the
 542      <code>--with-suexec-userdir</code> <a href="#install">compile
 543      time option</a>.</p> </div><div class="top"><a href="#page-header"><img alt="top" src="./images/up.gif" /></a></div>
 544 <div class="section">
 545 <h2><a name="debug" id="debug">Debugging suEXEC</a></h2>
 546
 547     <p>The suEXEC wrapper will write log information
 548     to the file defined with the <code>--with-suexec-logfile</code>
 549     option as indicated above. If you feel you have configured and
 550     installed the wrapper properly, have a look at this log and the
 551     error_log for the server to see where you may have gone astray.</p>
 552
 553 </div><div class="top"><a href="#page-header"><img alt="top" src="./images/up.gif" /></a></div>
 554 <div class="section">
 555 <h2><a name="jabberwock" id="jabberwock">Beware the Jabberwock:
 556     Warnings &amp; Examples</a></h2>
 557
 558     <p><strong>NOTE!</strong> This section may not be
 559     complete. For the latest revision of this section of the
 560     documentation, see the Apache Group's <a href="http://httpd.apache.org/docs/2.0/suexec.html">Online
 561     Documentation</a> version.</p>
 562
 563     <p>There are a few points of interest regarding
 564     the wrapper that can cause limitations on server setup. Please
 565     review these before submitting any "bugs" regarding suEXEC.</p>
 566
 567     <ul>
 568       <li><strong>suEXEC Points Of Interest</strong></li>
 569
 570       <li>
 571         Hierarchy limitations
 572
 573         <p class="indent">
 574           For security and efficiency reasons, all suEXEC requests
 575           must remain within either a top-level document root for
 576           virtual host requests, or one top-level personal document
 577           root for userdir requests. For example, if you have four
 578           VirtualHosts configured, you would need to structure all
 579           of your VHosts' document roots off of one main Apache
 580           document hierarchy to take advantage of suEXEC for
 581           VirtualHosts. (Example forthcoming.)
 582         </p>
 583       </li>
 584
 585       <li>
 586         suEXEC's PATH environment variable
 587
 588         <p class="indent">
 589           This can be a dangerous thing to change. Make certain
 590           every path you include in this define is a
 591           <strong>trusted</strong> directory. You don't want to
 592           open people up to having someone from across the world
 593           running a trojan horse on them.
 594         </p>
 595       </li>
 596
 597       <li>
 598         Altering the suEXEC code
 599
 600         <p class="indent">
 601           Again, this can cause <strong>Big Trouble</strong> if you
 602           try this without knowing what you are doing. Stay away
 603           from it if at all possible.
 604         </p>
 605       </li>
 606     </ul>
 607
 608 </div></div>
 609 <div class="bottomlang">
 610 <p><span>Available Languages: </span><a href="./en/suexec.html" title="English">&nbsp;en&nbsp;</a> |
 611 <a href="./ja/suexec.html" hreflang="ja" rel="alternate" title="Japanese">&nbsp;ja&nbsp;</a> |
 612 <a href="./ko/suexec.html" hreflang="ko" rel="alternate" title="Korean">&nbsp;ko&nbsp;</a> |
 613 <a href="./tr/suexec.html" hreflang="tr" rel="alternate" title="Türkçe">&nbsp;tr&nbsp;</a></p>
 614 </div><div id="footer">
 615 <p class="apache">Copyright 2009 The Apache Software Foundation.<br />Licensed under the <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p>
 616 <p class="menu"><a href="./mod/">Modules</a> | <a href="./mod/directives.html">Directives</a> | <a href="./faq/">FAQ</a> | <a href="./glossary.html">Glossary</a> | <a href="./sitemap.html">Sitemap</a></p></div>
 617 </body></html>