abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

včera 15:18 | Zajímavý software

CrossOver, komerční produkt založený na Wine, je dnes (23. 5. 2017) dostupný ve slevě. Roční předplatné linuxové verze vyjde s kódem TWENTYONE na $21, resp. $1 v případě IP z chudších zemí. Firma CodeWeavers, která CrossOver vyvíjí, významně přispívá do Wine. Přidaná hodnota CrossOver spočívá v přívětivějším uživatelském rozhraní, integraci do desktopu a podpoře.

Fluttershy, yay! | Komentářů: 13
včera 15:11 | Zajímavý projekt

V únoru loňského roku bylo představeno několik útoků na celou řadu bezdrátových klávesnic a myší s názvem MouseJack. Po více než roce lze chybu opravit, tj. aktualizovat firmware, také z Linuxu. Richardu Hughesovi se podařilo navázat spolupráci se společností Logitech, získat od nich dokumentaci, přesvědčit je, aby firmware poskytovali přímo a ne jako součást .exe souboru, aby mohl být popis začleněn do služby Linux Vendor Firmware Service (LVFS) a aktualizace tak mohla proběhnou přímo z Linuxu pomocí projektu fwupd.

Ladislav Hagara | Komentářů: 0
včera 13:22 | Nová verze

Po roce a půl vydali vývojáři projektu SANE (Scanner Access Now Easy) (Wikipedie) novou verzi 1.0.27 balíku SANE-Backends. Nejnovější verze tohoto balíku pro přístup ke skenerům přináší například významná vylepšení v několika backendech nebo podporu pro více než 30 nových modelů skenerů. Verze 1.0.26 byla přeskočena.

Ladislav Hagara | Komentářů: 0
22.5. 20:55 | Komunita

Od 18. do 21. května proběhla v Saint-Étienne Linux Audio Conference 2017. Na programu byla řada zajímavých přednášek a seminářů. Videozáznamy přednášek lze zhlédnout na YouTube. K dispozici jsou také články a prezentace.

Ladislav Hagara | Komentářů: 0
22.5. 20:44 | IT novinky

Hodnota Bitcoinu, decentralizované kryptoměny, překonala hranici 2 200 dolarů. Za posledních 30 dnů tak vzrostla přibližně o 80 % [reddit].

Ladislav Hagara | Komentářů: 5
22.5. 17:33 | Nová verze

Po 5 měsících vývoje od vydání verze 0.12.0 byla vydána verze 0.13.0 správce balíčků GNU Guix a na něm postavené systémové distribuce GuixSD (Guix System Distribution). Na vývoji se podílelo 83 vývojářů. Přibylo 840 nových balíčků. Jejich aktuální počet je 5 454. Aktualizována byla také dokumentace.

Ladislav Hagara | Komentářů: 1
22.5. 17:22 | Nová verze

Po 5 měsících vývoje a 3 týdnech intenzivního testování byla vydána verze 12 open source systému Nextcloud, forku ownCloudu, umožňujícího provoz vlastního cloudového úložiště. Přehled novinek i s videoukázkami v poznámkách k vydání. Pro vyzkoušení je k dispozici demo.

Ladislav Hagara | Komentářů: 8
22.5. 11:44 | Zajímavý článek

Týden po prvním číslu publikoval Michal Špaček na svých stránkách druhé číslo newsletteru věnovanému bezpečnosti, bezpečnému vývoji převážně webových aplikací a bezpečnosti uživatelů. Věnuje se výpadku Let's Encrypt, únikům dat, bug bounty pro WordPress nebo SQL Injection v Joomla. Zmiňuje také, že Mozilla plánuje z Firefoxu odstranit podporu pro Encrypted Media Extensions (EME) na nešifrovaném HTTP a nadále pro EME vyžadovat HTTPS.

Ladislav Hagara | Komentářů: 0
22.5. 02:00 | Pozvánky

Ve středu 31. května 2017 od 17:00 proběhne v pražské pobočce SUSE Den otevřených dveří v SUSE. Čekají vás přednášky o live kernel patchingu a nástroji SaltStack. Také se dozvíte zajímavé informace o SUSE, openSUSE, a vlastně všech produktech, na kterých lidé ze SUSE pracují.

Ladislav Hagara | Komentářů: 4
22.5. 01:00 | Pozvánky

Czech JBoss User Group srdečně zve na setkání JBUG v Brně, které se koná ve středu 7. června 2017 v prostorách Fakulty informatiky Masarykovy univerzity v místnosti A318 od 18:00. Přednáší Tomáš Livora na téma Fault Tolerance with Hystrix. Více informací na Facebooku a Twitteru #jbugcz.

mjedlick | Komentářů: 0
Chystáte se pořídit CPU AMD Ryzen?
 (6%)
 (32%)
 (1%)
 (8%)
 (45%)
 (9%)
Celkem 600 hlasů
 Komentářů: 62, poslední 19.5. 01:57
    Rozcestník

    Dotaz: Aktualizace CentOS rozbila selinux pravidla na několika systémech

    4.11.2014 02:08 shak
    Aktualizace CentOS rozbila selinux pravidla na několika systémech
    Přečteno: 391×
    Ahoj. Už po několikáté se mi stalo to, že aktualizace systémů (CentOS 6) "rozbila" selinux - konkrétně balík shorewall. Obvykle řeším pomocí vlastního semodulu či pomocí restorecon po vyhledání fixfiles. Nyní to ale nejde. Mám 2 systémy - poštovní server a webový server. Oba Centos 6 64bit, oba instalovány a aktualizovány stejným způsobem. Přesto na webovém serveru vše OK, na poštovním je v audit logu:
    avc:  denied  { getattr } for  pid=1761 comm="sh" path="/sys/module" dev=sysfs ino=581 scontext=system_u:system_r:shorewall_t:s0 tcontext=system_u:object_r:sysfs_t:s0 tclass=dir
    ...
    
    A to po nahrání vlastního semodulu, předtím si to stěžovalo na search oprávnění. Na obou serverech jsou stejné verze shorewall a ostatních balíků, kontext na souborech sedí, "semanage fcontext -l | grep shorewa" vrací stejný výstup na obou serverech. I přesto se zdá, že shorewall inicializuje firewall normálně - evidentně má ale s něčím problém.

    Čím může být způsobený tento problém?

    Odpovědi

    michich avatar 4.11.2014 14:15 michich | skóre: 50 | blog: ohrivane_parky
    Rozbalit Rozbalit vše Re: Aktualizace CentOS rozbila selinux pravidla na několika systémech
    No a máš v tom vlastním modulu teda něco jako allow shorewall_t sysfs_t:dir getattr? Ten denial by celkem odpovídal tomu, co dělá funkce loadmodule() v Shorewall-core/lib.common.

    Shorewall v CentOS 6 není. Máš ho asi z EPEL nebo odjinud. Takže mě ani nepřekvapuje, že distribuční selinux-policy s ním nepočítá.
    4.11.2014 15:30 shak
    Rozbalit Rozbalit vše Re: Aktualizace CentOS rozbila selinux pravidla na několika systémech
    Ne, dál už jsem to neřešil. V tom modulu jsem povolil jenom search. Jistě, jedna cesta je zkoušet na X krát audit2allow, nicméně jak je možné, že na jednom stroji to funguje dobře a na druhém ne? Jakým způsobem se aktualizují selinux pravidla? Koukal jsem se do rpm selinux-policy-targeted vč. jeho skriptů, ale nějak mi to není jasné? To se nějak dynamicky dokompiluje k již nasazeným pravidlům? V jakém balíků a proč může vzniknout ta nekonzistence - na jednom stroji funguje, na druhém ne? A ano, je z EPEL.
    michich avatar 4.11.2014 17:42 michich | skóre: 50 | blog: ohrivane_parky
    Rozbalit Rozbalit vše Re: Aktualizace CentOS rozbila selinux pravidla na několika systémech
    jak je možné, že na jednom stroji to funguje dobře a na druhém ne?
    A to máš na obou strojích úplně stejnou konfiguraci shorewallu? Pokud ne, tak je možné, že na jednom z nich se shorewall pokouší načíst nějaký conntrack helper modul a na druhém ne.
    Jakým způsobem se aktualizují selinux pravidla? Koukal jsem se do rpm selinux-policy-targeted vč. jeho skriptů, ale nějak mi to není jasné? To se nějak dynamicky dokompiluje k již nasazeným pravidlům?
    V %post to volá semodule -B, což slinkuje *.pp moduly (včetně tvého) do výsledné policy.
    4.11.2014 18:50 shak
    Rozbalit Rozbalit vše Re: Aktualizace CentOS rozbila selinux pravidla na několika systémech
    Na obou strojích je podobná konfigurace, liší se jen povolenými porty, ale funkce používá stejné. Taktéž se mi dříve na jiných systémech stalo, že přestal po aktualizaci fungovat zabbix klient. Rovněž se jednalo o stejnou verzi, jen to byl 32bitový CentOS.

    Když vypíšu "sesearch --allow -t shorewall_t", pak si výpis na obou server nepatrně liší. Záhada je proč. Pomocí vlastního modulu bych to dokázal opravit ... pořád ale další aktualizace může něco rozbít a tak bych rád věděl při čem se to rozbíjí a co může mít za následek rozdílná pravidla na obou serverech? Vlastní moduly, různé nastavení sebool? Dá se z něčeho zjistit, jestli při aktualizaci nenastala někde chyba? Logy jsem prošel a aktualizace byly úspěšné.
    4.11.2014 19:40 shak
    Rozbalit Rozbalit vše Re: Aktualizace CentOS rozbila selinux pravidla na několika systémech
    Vzal jsem chybějící pravidla z funkčního systému a udělal modul. Dostal jsem se k tomuto:
    module mujmodul_shorewall 1.0;
    
    require {
            type shorewall_t;
            type prelink_mask_t;
            class process sigchld;
            class fd use;
            class fifo_file { ioctl read write getattr lock append };
    }
    
    #============= shorewall_t ==============
    allow prelink_mask_t shorewall_t : process sigchld ;
    allow prelink_mask_t shorewall_t : fd use ;
    allow prelink_mask_t shorewall_t : fifo_file { ioctl read write getattr lock append } ;
    
    ... ale ...
    semodule -i mujmodul_shorewall.pp
    libsepol.print_missing_requirements: mujmodul_shorewall's global requirements were not met: type/attribute prelink_mask_t (No such file or directory).
    libsemanage.semanage_link_sandbox: Link packages failed (No such file or directory).
    semodule:  Failed!
    
    Na tom "nefunkčním" systému neexistuje vůbec prelink_mask_t - "sesearch --allow -t prelink_mask_t" nevrátí nic, na tom druhém vrátí spoustu pravidel. Podle "grep prelink_mask_t /usr/share/selinux/* -R" jsou nějaké pravidla v "/usr/share/selinux/devel/include/admin/prelink.if".

    Jak zjistím, který modul tato pravidla definuje a jak je tam dodat?
    4.11.2014 19:48 shak
    Rozbalit Rozbalit vše Re: Aktualizace CentOS rozbila selinux pravidla na několika systémech
    Reinstalace ukázala na teoreticky možný problém:
    etckeeper: pre transaction commit
      Instaluje se  : selinux-policy-3.7.19-260.el6.noarch                                                                                        1/2 
      Instaluje se  : selinux-policy-targeted-3.7.19-260.el6.noarch                                                                               2/2 
    semodule: link.c:840: alias_copy_callback: Assertion `base_type->primary == target_type->s.value' failed.
    etckeeper: post transaction commit
      Verifying     : selinux-policy-targeted-3.7.19-260.el6.noarch                                                                               1/2 
      Verifying     : selinux-policy-3.7.19-260.el6.noarch
    
    Na tom druhém dobrém serveru ta Assertion hláška není.
    4.11.2014 22:10 shak
    Rozbalit Rozbalit vše Re: Aktualizace CentOS rozbila selinux pravidla na několika systémech
    Nakonec jsem to vyřešil vymazáním politik z /etc/selinux a jejich přeinstalací a postupnou obnovou mých definicí. Možná ten problém vznikl díky tomu, že základní politiky nyní obsahují definici pro port 10026 jako dspam zatímco já ho měl jako další pro amavis. Vážně nevím, každopádně je to celé podle mě špatně navržené - jak selinux resp. jeho údržba obecně až po aktualizaci v centos/rhelu (každá aktualizace mění hromady kontextů aj.).

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.