vsftpd se bloque lors de l'utilisation de pam_exec ou pam_script

Je sais que cette question a été posée il y a un certain temps mais j'ai rencontré des problÃ?mes similaires sous Debian, à savoir le blocage du processus vsftpd lors de l'ajout de pam_exec à la chaîne. Pour moi, le problème était qu'il n'était pas suffisant d'ajouter

session_support=YES

au fichier de configuration de vsftpd mais aussi de mettre

@include common-session

en /etc/pam.d/vsftpd que j'avais commenté en suivant certains guides sur les utilisateurs virtuels pour vsftpd. Le fichier pam complet ressemble donc à ceci pour moi :

auth    required        pam_listfile.so item=user sense=deny file=/etc/ftpusers onerr=succeed
auth    required        pam_pwdfile.so pwdfile=/etc/ftppasswd
account required        pam_permit.so
session optional        pam_exec.so type=close_session log=/var/log/session.log /etc/pam_session.sh
@include common-session

(Mon cas d'utilisation est de traiter les fichiers téléchargés une fois qu'un utilisateur ftp spécifique se déconnecte).

Je confirme que c'est un bogue sur Debian / Ubuntu et les versions natives de vsftpd. Tout module PAM appelant un sous-processus bloquera ou suspendra vsftpd (par exemple pam_exec, pam_script, module pam personnalisé impliquant des appels système ou popen).

J'ai résolu le problème en construisant les sources de centos sur ma Debian :

apt-get install vsftpd
cd /usr/local/src
git clone  https://git.centos.org/git/centos-git-common.git
cp ./centos-git-common/*.sh /usr/local/sbin
git clone https://git.centos.org/git/rpms/vsftpd
cd /usr/local/src/vsftpd
git checkout c7
get_sources.sh
cd SOURCES
tar xvzf vsftpd-3.0.2.tar.gz
mv vsftpd-3.0.2/* .
git apply *-3.0.2-*.patch
sed -i -e 's/vsf_findlibs.sh`/vsf_findlibs.sh` -lcap/g' Makefile
sed -i -e 's/undef VSF_BUILD_SSL/define VSF_BUILD_SSL/g' builddefs.h
make
cp vsftpd /usr/sbin

vsftpd ne se bloquera plus et vous pourrez appeler la fonction system() depuis vos modules PAM. fork et exec ne fonctionneront toujours pas correctement pour une raison quelconque.

Vérifiez vos journaux suexec. Peut-être que votre structure de répertoire est dans un emplacement non standard pour vsftpd. Aussi, je pense que vous avez besoin de plus dans votre fichier de configuration pam.

Voici à quoi ressemble ma configuration pam :

cat /etc/pam.d/vsftpd 
#%PAM-1.0

# Auth in MySQL
auth requisite pam_mysql.so user=readonly passwd=readonly host=somehost db=somedb table=accounts usercolumn=username passwdcolumn=pass crypt=3 
auth required pam_script.so onerr=success dir=/etc/pam-script

# Account in MySQL
account required pam_mysql.so user=readonly passwd=readonly host=somehost db=somedb table=accounts usercolumn=username passwdcolumn=pass crypt=3

$ cat /etc/pam-script/pam_script_auth
#!/bin/sh
# Purpose: create the users's homedir and default message
#
# The evnironment variable $PAM_USER is passed on from PAM
# layer to this script via pam_script.so

if [ ! -d "/opt/ftp/$PAM_USER" ]; then
  /bin/su - ftp -s /bin/sh -c "/usr/bin/env mkdir /opt/ftp/$PAM_USER"
  /bin/su - ftp -s /bin/sh -c "/usr/bin/env chmod 751 /opt/ftp/$PAM_USER"
  /bin/su - ftp -s /bin/sh -c "/usr/bin/env cat /etc/vsftpd /vsftpd.banner.homedir.txt > /opt/ftp/$PAM_USER/.message"
  /bin/su - ftp -s /bin/sh -c "/usr/bin/env cat /etc/vsftpd/vsftpd.banner.homedir.txt > /opt/ftp/$PAM_USER/README.first"
fi

$ cat /etc/vsftpd/vsftpd.int.21.conf
listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
message_file=.message
xferlog_enable=YES
connect_from_port_20=YES
nopriv_user=ftp
chroot_local_user=YES
secure_chroot_dir=/var/run/vsftpd
pam_service_name=vsftpd
rsa_cert_file=/etc/vsftpd/ssl/

guest_enable=YES
guest_username=ftp
local_root=/opt/ftp/$USER
user_sub_token=$USER
virtual_use_local_privs=YES
user_config_dir=/etc/vsftpd_user_conf
banner_file=/etc/vsftpd/vsftpd.banner.server.txt

pasv_min_port=20005
pasv_max_port=30005
pasv_address=10.10.10.10

## FTPS (21) Config Changes
listen_port=21
ftp_data_port=20
listen_address=10.10.10.123

Cela fait un moment que je n'ai pas regardé cela, alors j'espère que cela vous aidera.