Files
takana/recipes
Sergio b6e20829e4 chsh: faltaba /etc/shells — y debajo, que la distro no puede expresar un binario setuid
Pedido tras instalar zsh: «no me funciona chsh». Dos capas, y sólo la primera es un arreglo.

1. /etc/shells NO EXISTÍA en la caja, y shadow rechaza cualquier shell que no esté listado (para un
   usuario normal es rechazo duro, no aviso). Escrito con lo que existe, comprobado -x uno por uno,
   en vez de copiar la lista de otra distro: un shell listado que no está deja a quien lo elija sin
   poder entrar, y eso no se ve hasta el siguiente login. Con eso `chsh -s /bin/zsh sergio` va, y
   `su - sergio` entra con zsh 5.9.

2. ⚠ Pero sergio sigue sin poder cambiárselo él mismo: `su sergio -c "chsh …"` ⇒ «Cannot change ID
   to root». Los cinco binarios de shadow que necesitan setuid (chsh, passwd, su, chfn, newgrp)
   salen del store r-xr-xr-x, porque la receta lleva --disable-account-tools-setuid heredado del
   APKBUILD de Alpine (allá los hace setuid el empaquetado, no el configure). Y debajo hay otra
   capa: of_tree sólo hashea el bit de EJECUCIÓN (mode & 0o111), así que el modelo de artefactos
   hoy no puede ni expresar ni garantizar un setuid — aunque la receta lo pusiera, el hash no lo
   cubriría y nadie notaría si se pierde o aparece.

Quitar la bandera no alcanza y no es un arreglo de receta: es una decisión de seguridad. Anotada
en la propia receta y en SDD 28 §5.11, sin decidir.

El comentario va en la cabecera de la receta y NO mueve su hash: comprobado antes y después,
b3:843e9098… las dos veces (los comentarios fuera de [build.phases] no entran en hash_inputs).
2026-09-21 20:37:41 +00:00
..