Mails mit smime Anhängen -> an error happend

moe 2018-01-25 11:26:54 UTC #1

Guten morgen,

dringendes Problem:
Seit dem Update von 16.9 auf 17.1 werden Emails mit smime Anhängen (digitaler Signatur) nicht mehr dargestellt.
Stattdessen kommt eine Fehlermeldung “an error happend” Click to resume your eGroupware Session…

Bug melden?
Problem bekannt?
Wenn man die Email weiterleitet kann man zumindest den Inhalt lesen aber das ist ja keine Lösung

Moe

RalfBecker 2018-01-25 11:39:07 UTC #2

Kein Problem bekannt, die 17.1 zeigt bei mir die Signatur an.

Könnte ein Problem in Deiner Umgebung sein, sprich was sagt denn das Apache error.log?

Ralf

moe 2018-01-25 12:13:12 UTC #3

Hallo Ralf,

habe auch kurz nach meinem Post gleich die Apachelogs gecheckt …
Da waren errors wegen des Zugriffs auf das Verzeichnis /usr/lib/ssl/certs (open_base_restriction in effect…)

Also habe ich das Verzeichnis aufgenommen und einen apache reload gemacht.

nun kam für jedes einzelne Zertifikat die open_basedir restriction.
Ich habe dann gesehen, dass das Verzeichnis /usr/lib/ssl/certs verlinkt ist auf /etc/ssl/certs
und habe daher dieses Verzeichnis auch noch freigegeben.

Der Fehler bleibt und es kommen für jedes einzelne root-Zertifikat in diesem Ordner nun die folgenden 7 Fehlermeldungen:

[Thu Jan 25 12:56:15.859778 2018] [:error] [pid 8155] [client 192.168.3.63:56964] #1 /usr/share/egroupware/vendor/pear-pear.horde.org/Horde_Crypt/Horde/Crypt/Smime.php(141): file_exists('/usr/lib/ssl/ce...'), referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes
[Thu Jan 25 12:56:15.859786 2018] [:error] [pid 8155] [client 192.168.3.63:56964] #2 /usr/share/egroupware/api/src/Mail/Smime.php(201): Horde_Crypt_Smime->verify(NULL, Array), referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes
[Thu Jan 25 12:56:15.859793 2018] [:error] [pid 8155] [client 192.168.3.63:56964] #3 /usr/share/egroupware/api/src/Mail.php(7394): EGroupware\\Api\\Mail\\Smime->verifySignature('Return-Path: <s...'), referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes
[Thu Jan 25 12:56:15.859800 2018] [:error] [pid 8155] [client 192.168.3.63:56964] #4 /usr/share/egroupware/api/src/Mail.php(5623): EGroupware\\Api\\Mail->resolveSmimeMessage(Object(Horde_Mime_Part), Array), referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes
[Thu Jan 25 12:56:15.859807 2018] [:error] [pid 8155] [client 192.168.3.63:56964] #5 /usr/share/egroupware/api/src/Mail.php(5666): EGroupware\\Api\\Mail->getStructure('17971', NULL, 'INBOX', true), referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes
[Thu Jan 25 12:56:15.859814 2018] [:error] [pid 8155] [client 192.168.3.63:56964] #6 /usr/share/egroupware/mail/inc/class.mail_ui.inc.php(2154): EGroupware\\Api\\Mail->getMessageAttachments('17971', NULL, NULL, false, true, true, 'INBOX'), referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes
[Thu Jan 25 12:56:15.859821 2018] [:error] [pid 8155] [client 192.168.3.63:56964] #7 /usr/share/egroupware/index.php(155): mail_ui->displayMessage(), referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes
[Thu Jan 25 12:56:15.859828 2018] [:error] [pid 8155] [client 192.168.3.63:56964] #8 {main}, referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes
[Thu Jan 25 12:56:15.859839 2018] [:error] [pid 8155] [client 192.168.3.63:56964] # Instance=default, User=meinUser, Request=GET https://egroupware.meine-domain.de/egroupware/index.php?menuaction=mail.mail_ui.displayMessage&id=mail%3A%3A1070%3A%3A1%3A%3ASU5CT1g%3D%3A%3A17971&view=mail%3A%3A1070%3A%3A1%3A%3ASU5CT1g_%3A%3A17971&mode=view, User-agent=Mozilla/5.0 (Windows NT 6.1; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0, referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes
[Thu Jan 25 12:56:15.860146 2018] [:error] [pid 8155] [client 192.168.3.63:56964] PHP Warning: file_exists(): open_basedir restriction in effect. File(/usr/lib/ssl/certs/thawte_Primary_Root_CA_-_G2.pem) is not within the allowed path(s): (/usr/share/egroupware:/var/lib/egroupware:/tmp:/data/egw:/srv/www/egw:/usr/lib/ssl/certs:/etc/ssl/certs) in /usr/share/egroupware/vendor/pear-pear.horde.org/Horde_Crypt/Horde/Crypt/Smime.php on line 141, referer: https://egroupware.meine-domain.de/egroupware/index.php?cd=yes

RalfBecker 2018-01-25 12:58:52 UTC #4

In unserem Hosting (noch CentOS basierende Container) habe ich die entsprechenden Pfade, incl. Symlink Ziele, wie Du bei open_basedir eingetragen und damit funktioniert es.

Frage ist halt welche Distro Du verwendest und ob auch die Ziele der Symlinks wirklich alle aufgenommen wurden. Unter Ubuntu sehe ich z.B. das /usr/lib/ssl/certs/ nach /usr/share/ca-certificates/ symlinked.

Als ersten einfachen Test kannst Du ja open_basedir mal komplett ausschalten, und schauen ob es dann funktioniert.

Bei CentOS oder RHEL muss man auch beachten, dass SELinux den Zugriff auch komplett verbieten kann, auch hier bietet es sich an testweise das erst mal auszuschalten, um zu sehen ob es daran liegt.

Ralf

StefanU 2018-01-25 13:25:19 UTC #5

@AndreS hat das hier auch gemeldet:

Ich habe auf einem Ubuntu Server 17.10 mit nginx… das Problem nicht.

Gruß
Stefan

moe 2018-01-25 13:29:03 UTC #6

Es ist eine Ubuntu 16.04.
Bei mir wird der Ordner /usr/lib/ssl/certs/ nach /etc/ssl/certs
gesymlinkt … nicht nach /usr/share/ca-certificates/ (obwohl dort auch Zertifikate liegen …)

Um nicht immer die beiden aktuell betroffenen User zu belästigen, um zu testen, habe ich mir nun mal
exact die Email in mein Postfach geholt und bei mir funktioniert es!! Es gibt einen grünen Balken und das Symbol wird grün. Bei dem User bei dem ich getestet habe, geht es aber nach wie vor nicht egal welcher Browser, Cache geleert etc … alles probiert …

Moe

moe 2018-01-25 14:03:19 UTC #7

Anscheinend muss es zumindest u.a. mit den Benutzerberechtigungen zusammenhängen, die in eGW vergeben werden. Bei dem oben benannten Nutzer wo das Problem auftritt habe ich mich einmal mit MEINEM eGW Account im gleichen Browser (FF) eingeloggt und es klappte. Mit seinem eGW Account geht es nicht…

Ich bin ratlos

Moe

moe 2018-01-26 10:23:42 UTC #8

Ich konnte das Problem lösen!
Der User MUSS Zugriff auf die Anwendung Benachrichtigungen haben!
Wenn der User nicht in dieser Gruppe ist, kommt es immer zu dem Fehler!
Das ist für mich wenig plausibel!

Zusätzlich muss der open_basedir -Pfad korrekt eingetragen sein.
Wenn das nicht der Fall ist, gibt es aber trotzdem KEINE Fehlermeldung sondern beim Mouseover über die Signatur kommt folgende Meldung:

Ich würde anregen:

Die Mailanzeige unabhängig von dem Zugriff auf die Benachrichtigungsapp zu machen.
Die Prüfung des open_basedir - Pfades im Setup aufzunehmen.

Moe

RalfBecker 2018-01-26 12:55:47 UTC #9

zu 1. das ist im Moment leider so und auch nicht einfach zu ändern, längerfristig sollten wir notification in die API nehmen, dann kann Sie niemand abschalten

zu 2. das werde ich im nächsten Paket beheben

AndreS 2018-01-26 17:12:14 UTC #10

Hallo,
ich habe - wie @StefanU schon erwähnte den gleichen Fehler. Meine Umgebung ist ein Debian-Docker-Container. Bei mir hat es nicht geholfen, die Benachritigungsapp für den betroffenen Benutzer (mich) freizugeben. Der Fehler belibt.
lg

AndreS

moe 2018-01-29 08:24:19 UTC #11

aber vielleicht kann man vorübergehend einen Hinweis einbauen alá … “ohne Benachrichtungen keine Signierten Mails”.

klingt gut!

RalfBecker 2018-01-29 08:57:15 UTC #12

Hadi hat es jetzt in master und 17.1 behoben, so das es keinen Absturz mehr gibt, wenn des Benutzer keine Run-Rechte für Notifications hat. Das Ergebnis der Signaturprüfung wird dann ggf. etwas verspätet angezeigt.

moe 2018-01-29 09:59:22 UTC #13

thumbs up