Der Flow koennte ungefaehr so gehen:
- User uebergibt altes und neues Passwort an ein CGI, welches mit setuid-Rechten laeuft (entweder per sudo oder /usr/bin/suidperl)
- CGI ueberprueft, ob der User das richtige alte Passwort uebergeben hat (mit getpwuid und crypt)
- wenn alles OK ist, dann wird mit passwd geaendert

Wahrscheinlich sollte man weitere Checks einbauen, z.B. wichtige Benutzer wie "root" sollten ihr Passwort darueber nicht aendern koennen, man koennte so frueh wie moeglich auf den weniger privilegierten Benutzer, dessen Passwort geaendert wird, switchen (per setuid), oder man koennte das suexec-Feature des Apache verwenden und jedem Benutzer das Passwortaenderungs-CGI in sein .public_html legen.