SUID-Perl und dessen "Insecure" Warnungen...

[keksinat0r]

Insecure $ENV{PATH} while running setuid at /../xyz.pm line 45.
Insecure EXEC while running setuid at /../xyz.pm line 45.

Mein Script besteht aus einem Hauptscript, dass via suidperl interpretiert wird, und mehreren Unter-Scripten (/Modulen) die via require in das Hauptscript eingebunden werden.

Im Hauptscript wird mittels "pwd" das aktuelle Verzeichnis ausgelesen, und in einer Variable gespeichert.
Diesw wiederum wird in jedem require dem Pfad vorangestellt, damit immer ein absoluter Pfad gegeben ist.
Leider führt dies zu obiger Warnmeldung...
Selbst wenn ich das entsprechende Verzeichnis zu "PATH" hinzufüge, meckert er immernoch rum...
Wenn ich relative Pfade benutze, gibt er keine Meldung aus.

Perl's require hat ein für mich sehr seltsames Verhalten, denn sobald ich das Script als ein anderer User ausführe, findet es angeblich mein einzubindendes Modul nicht, obwohl test -e -r und -x, im selben script alle einen positiven wert zurückgeben. Sogar open funktioniert...
Wenn ich absolute Pfade nutze, findet auch require die Datei und bindet sie erfolgreich ein.

Jetzt meine Frage, wie kann ich die Warnmeldungen ausstellen ( außer -X als Interpreter-Argument ), oder wie bringe ich require dazu, die Datei zu finden?
Immerhin ist die Datei ja eindeutg vorhanden und les- / ausführbar...

MFG - Keks

 

[Gulliver]

die wesentlichen auszuege aus deinem code waeren hilfreich.

 

[keksinat0r]

naja hatte gedacht die beschreibung reicht...

Hauptscript:

Spoiler: code

#!/usr/bin/suidperl -U
use warnings;
use strict;
use English;
use Cwd;
use ...

[...]

our $CWD = getcwd;
#oder via `pwd`

push(@INC,$CWD);
$ENV{'PATH'} .= ":$CWD";

[...]

require("$CWD/sub/modul.pm");

[...]

Die Modularisierung wird dann auch innerhalb von Modulen weitergeführt:

Modul:

Spoiler: code

package modul;
use warnings;
use strict;
use ...

[...]

require("$main::CWD/sub/modul/submodul.pm");

[...]

Die Fehlermeldung tritt sowohl im Hauptscript, alsauch in den Modulen auf...
Die einzige Möglichkeit diese Abzuschalten die ich bis jetzt gefunden habe, ist -X als Interpreter-Argument...

MFG - Keks