やるきなし

2025/12/29 14:50 / Perl CGI.pm の CGI (mrtg-rrd.cgi)が HOME に書き込めない

Debian package から削除されて久しい mrtg-rrd.cgi だが，使いやすいので手元ではずっと使っているのだけど，久々に見ようとしたら以下の Error で画像が表示できなくなっていた．

Error: RRDs::graph failed, Could not save png to '/home/myn/mrtg/clotho.ping-day.png'

Directory も存在するし，Permission も問題なし，HW Trouble 等でもないので，おかしい．大元の apcache の process から strace -f -p で system call を trace してみたら，以下のように EROFS (Read-only file system)でコケている．

[pid 267523] openat(AT_FDCWD, "/home/myn/mrtg/clotho.ping-day.png", O_WRONLY|O_CREAT|O_TRUNC|O_CLOEXEC, 0666) = -1 EROFS (Read-only file system)

/home/ を read-only とみなして systemd が apache2 を起動しているらしく，該当箇所は /usr/lib/systemd/system/apache2.service の以下．

[Service]
ProtectHome=read-only

Debian では apache2 2.4.66-1 で導入されている．

apache2 (2.4.66-1) unstable; urgency=medium

  [ Laurent Bigonville ]
  * Enable systemd module (Closes: #860087).
  * debian/apache2ctl: Fix the restart and greceful when using system.
    When apache is not running and restart or greceful is called, apache
    was running in the user cgroup and system was be confused
    (Closes: #927302).
    This will also avoid to leak fd to apache
    (Closes: #713967).

  [ Helmut Grohne ]
  * Fix FTCBFS: (Closes: #913094)
    + Annotate perl build dependency with :any.
    + cross.patch: Use AC_PATH_TOOL to find pkg-config.
    + Generate server/test_char.h ahead of the build

  [ Jason Perrin ]
  * Fix packaging steps undo setting of setuid bit
    (Closes: #900612)

  [ Bastien Roucariès]
  * Harden systemd services. Set ProtectSystem=full
    ProtectHome=read-only, RestrictSUIDSGID=yes.
    This may break read-write CGI script to /home and
    WebDaV or other CGI/php/lua uses.
  * Move /var/run to /run and /var/lock to /run/lock
  * Allow CAP_SYS_CHROOT for chroot
    (Closes: #1091855)
  * Remove apache2 IPC

  [ Moritz Schlarb ]
  * Support Rules-Requires-Root: no (Closes: #1105015)

  [ Yadd ]
  * New upstream version (Closes: #1121926, CVE-2025-55753, CVE-2025-58098,
    CVE-2025-59775, CVE-2025-65082, CVE-2025-66200)

 -- Yadd <yadd@debian.org>  Fri, 05 Dec 2025 06:35:34 +0100

ProtectHome=no にすればひとまず解決するので，以下のような drop-in で解決できる．

sudo systemctl edit apache2.service
[Service]
ProtectHome=no
sudo systemctl restart apache2.service

:pandoc

barrier の開発が止まっているので代替の input-leap をコンパイル，しただけのメモ．結局 XWayland でまともに動作しない(S: gnome w/Xorg - C: gnome w/Wayland で通信はできているが，Client 側でマウスカーソルが動かない)．

sudo aptitude install qt6-base-dev
sudo aptitude install qt6-tools-dev
git clone https://github.com/input-leap/input-leap
mkdir build
cd build
cmake ../ -DINPUTLEAP_BUILD_TESTS=OFF -DCMAKE_INSTALL_PREFIX=$(pwd)/tmp
make
make install

久しぶりに waynergy (client)を使ってみたが，こちらは動作する(chmod 666 /dev/uinputが必要)．ただし，server の clipboard は client 側に送られるが，client の clipboard は server 側には送られない(詳しく調べていない)．なお，barrier server 側で layout の設定ファイルで行うが，client にどの名前(screen)を名乗らせるかは -N option で指定する．

./waynergy -c 192.168.1.xxx -e -t -N mynpc &

Related articles