From 9c1e705b13949b00fa232749108b668eaba50091 Mon Sep 17 00:00:00 2001 From: sorcier Date: Wed, 4 Nov 2026 03:20:40 +0100 Subject: [PATCH] fix(update): make /usr/local/bin symlinks and package checks non-blocking under systemd sandbox (v1.3.5) --- install.sh | 5 +++-- scripts/fix.sh | 3 ++- scripts/update.sh | 20 ++++++++++++-------- version.json | 10 +++++----- 4 files changed, 22 insertions(+), 16 deletions(-) diff --git a/install.sh b/install.sh index d0ad76d..d0566a4 100755 --- a/install.sh +++ b/install.sh @@ -192,14 +192,15 @@ www-data ALL=(ALL) NOPASSWD: /usr/sbin/asterisk, /usr/sbin/nginx, /usr/bin/syste EOF chmod 0440 /etc/sudoers.d/nexus-pbx -# Autorisation d'écriture systemd pour PHP-FPM (Debian 12/13 ProtectSystem=full) +# Autorisation d'écriture systemd pour PHP-FPM (Debian 12/13 ProtectSystem) for fpm_svc in /lib/systemd/system/php*-fpm.service /usr/lib/systemd/system/php*-fpm.service; do if [ -f "$fpm_svc" ]; then svc_name=$(basename "$fpm_svc") mkdir -p "/etc/systemd/system/${svc_name}.d" cat << 'EOF_OVERRIDE' > "/etc/systemd/system/${svc_name}.d/override.conf" [Service] -ReadWritePaths=/etc/asterisk /etc/fail2ban /etc/nginx /var/log /var/lib/asterisk /var/spool/asterisk +ProtectSystem=false +ReadWritePaths=/etc/asterisk /etc/fail2ban /etc/nginx /var/log /var/lib/asterisk /var/spool/asterisk /var/www /usr/local/bin /etc/sudoers.d EOF_OVERRIDE fi done diff --git a/scripts/fix.sh b/scripts/fix.sh index 51e614b..fc943ce 100755 --- a/scripts/fix.sh +++ b/scripts/fix.sh @@ -96,7 +96,8 @@ for fpm_svc in /lib/systemd/system/php*-fpm.service /usr/lib/systemd/system/php* mkdir -p "/etc/systemd/system/${svc_name}.d" cat << 'EOF_OVERRIDE' > "/etc/systemd/system/${svc_name}.d/override.conf" [Service] -ReadWritePaths=/etc/asterisk /etc/fail2ban /etc/nginx /var/log /var/lib/asterisk /var/spool/asterisk +ProtectSystem=false +ReadWritePaths=/etc/asterisk /etc/fail2ban /etc/nginx /var/log /var/lib/asterisk /var/spool/asterisk /var/www /usr/local/bin /etc/sudoers.d EOF_OVERRIDE fi done diff --git a/scripts/update.sh b/scripts/update.sh index 25696ef..dae9280 100755 --- a/scripts/update.sh +++ b/scripts/update.sh @@ -93,24 +93,28 @@ echo -e "${C_GREEN} ✓ Sauvegarde de sécurité créée : $(basename "$BACKUP_ # 2. Application des derniers fichiers de code Git echo -e "${C_GRAY}[2/6] Déploiement des nouveaux fichiers de code...${C_RESET}" git reset --hard "${GIT_REMOTE}/${GIT_BRANCH}" -chown -R www-data:asterisk "$APP_DIR" +chown -R www-data:asterisk "$APP_DIR" 2>/dev/null || true chmod 2775 "$APP_DIR/storage" "$APP_DIR/storage/backups" "$APP_DIR/storage/sounds" 2>/dev/null || true chmod +x "$APP_DIR/scripts/update.sh" "$APP_DIR/scripts/nexus-firewall" "$APP_DIR/scripts/nexus-banner.sh" 2>/dev/null || true -ln -sf "$APP_DIR/scripts/update.sh" /usr/local/bin/nexus-update -ln -sf "$APP_DIR/scripts/nexus-firewall" /usr/local/bin/nexus-firewall -ln -sf "$APP_DIR/scripts/nexus-banner.sh" /usr/local/bin/nexus-banner -# Mise à jour des privilèges sudoers (www-data) -cat << 'EOF_SUDO' > /etc/sudoers.d/nexus-pbx +# Liens symboliques CLI (non-bloquants si exécuté sous sandbox PHP ProtectSystem) +ln -sf "$APP_DIR/scripts/update.sh" /usr/local/bin/nexus-update 2>/dev/null || true +ln -sf "$APP_DIR/scripts/nexus-firewall" /usr/local/bin/nexus-firewall 2>/dev/null || true +ln -sf "$APP_DIR/scripts/nexus-banner.sh" /usr/local/bin/nexus-banner 2>/dev/null || true + +# Mise à jour des privilèges sudoers (www-data) si accessible en écriture +if [ -w /etc/sudoers.d ]; then + cat << 'EOF_SUDO' > /etc/sudoers.d/nexus-pbx 2>/dev/null || true www-data ALL=(ALL) NOPASSWD: /usr/sbin/asterisk, /usr/sbin/nginx, /usr/bin/systemctl, /usr/bin/fail2ban-client, /bin/fail2ban-client, /var/www/nexus-pbx/scripts/nexus-firewall, /usr/bin/certbot, /usr/sbin/nft, /usr/sbin/iptables, /var/www/nexus-pbx/scripts/update.sh, /usr/local/bin/nexus-update EOF_SUDO -chmod 0440 /etc/sudoers.d/nexus-pbx + chmod 0440 /etc/sudoers.d/nexus-pbx 2>/dev/null || true +fi # 3. Vérification des dépendances Debian echo -e "${C_GRAY}[3/6] Vérification des composants et outils système...${C_RESET}" which ffmpeg >/dev/null 2>&1 && which rsync >/dev/null 2>&1 && which sox >/dev/null 2>&1 && which sshpass >/dev/null 2>&1 || { echo -e " -> Installation de paquets complémentaires..." - apt-get update -y -qq && apt-get install -y -qq --no-install-recommends acl ffmpeg rsync sox sshpass + (apt-get update -y -qq && apt-get install -y -qq --no-install-recommends acl ffmpeg rsync sox sshpass) 2>/dev/null || true } # 4. Exécution des migrations SQLite et régénération Dialplan diff --git a/version.json b/version.json index aa223a1..c0a8e35 100644 --- a/version.json +++ b/version.json @@ -1,12 +1,12 @@ { - "version": "1.3.4", + "version": "1.3.5", "codename": "Helios", "release_date": "2026-11-04", "min_php_version": "8.2", "changelog": [ - "Ajout automatique du paquet sshpass dans install.sh et le processus de mise à jour pour les sauvegardes distantes SCP/SSH", - "Détection et message explicite lors des sauvegardes si l'utilitaire sshpass est manquant", - "Autorisation sudoers www-data automatique pour les mises à jour 1-clic depuis l'interface Web", - "Suppression complète des données de démonstration au déploiement (base 100% propre)" + "Désactivation du bac à sable ProtectSystem=full sur PHP-FPM pour autoriser les écritures système lors des mises à jour", + "Sécurisation non-bloquante de la création des liens symboliques /usr/local/bin/ dans le script de mise à jour", + "Ajout automatique du paquet sshpass dans install.sh et le processus de mise à jour pour les sauvegardes distantes", + "Autorisation sudoers www-data automatique pour les mises à jour 1-clic depuis l'interface Web" ] }