На http://httpd.apache.org/docs/2.2/logs.html
Любой, кто может писать в каталог, в который Apache записывает файл журнала, почти наверняка может получить доступ к uid, от имени которого запускается сервер, обычно это root. НЕ предоставляйте людям права на запись в каталог, в котором хранятся журналы, не осознавая последствий; подробности см. в документе с советами по безопасности
Как это работает? Как выполняется запись в файл, который также пишет Apache, для предоставления доступа пользователю родительского процесса Apache (root)?
Ознакомьтесь со страницей советов по безопасности.
http://httpd.apache.org/docs/2.2/misc/security_tips.html
Если вы разрешаете пользователям без полномочий root изменять любые файлы, которые root либо выполняет, либо записывает, то вы открываете свою систему для взлома root. Например, кто-то может заменить двоичный файл httpd, чтобы при следующем запуске он выполнял произвольный код. Если каталог журналов доступен для записи (пользователем без полномочий root), кто-то может заменить файл журнала символической ссылкой на какой-либо другой системный файл, а затем root может перезаписать этот файл произвольными данными. Если сами файлы журнала доступны для записи (пользователем без полномочий root), то кто-то может перезаписать сам журнал фиктивными данными.
Поскольку apache открывает и читает файл журнала от имени пользователя root, существует опасность злоупотребления. Не уверен, почему вы хотите, чтобы пользователь без полномочий root (apache) имел доступ на запись к файлам. Вы можете безопасно предоставить доступ для чтения, но вы можете предложить, чтобы доступ для записи предоставлялся только старым файлам, которые были повернуты. Apache не открывает эти файлы, когда вы используете logrotate для управления ротацией журналов.
Если apache работает от имени root ... и пользователь без полномочий root пишет сценарий для выполнения apache ... тогда в силу того, как работают процессы ... сценарий запускается как root. В качестве меры безопасности большинство дистрибутивов запускают apache не от имени пользователя root ... а от имени специального пользователя, такого как «www-data», «apache» или «httpd».