Dotaz: selinux vs proftpd

[tom pazak]

zdravim, po upgradu na fc7 se mi nedari rozjet ftp server (vsftpd i proftpd se chovaji v tomto smeru stejne)

service proftpd start .......[ok]

sluzba zjevne bezi, jenze se k ni nelze prihlasit (authentification failed), v logu je nasledujici:

SELinux is preventing /usr/sbin/proftpd (ftpd_t) "execute" to unix_update (updpwd_exec_t)

v nastaveni SELinuxu, jsem pro ftp povolil snad vsechno myslitelny a stejny vysledek, vs/pro-ftpd se rozjedou bez problemu jakmile dam SELinux do permissive modu. At googlim, jak googlim nevim kde delam chybu. Co mam povolit v enforcing modu SELinuxu, aby to jelo?

diky, tom

Odpovědi

[michich]

Snažíš se přihlásit jako lokální uživatel, že? Vypadá to na bug v policy. Někdo to hlásil v Bugzille.

Podařilo se mi to zreprodukovat s vsftpd. Než to někdo spraví, udělej si nějaký takovýto vlastní policy modul, nazvi ho ftphack.te:

module ftphack 1.0;

require {
	class file { read execute };
	class process { transition noatsecure rlimitinh siginh sigchld };
	class fd { use };
	class fifo_file { write getattr } ;
	type ftpd_t;
	type updpwd_exec_t;
	type updpwd_t;
};

# spusteni helperu s transition:
allow ftpd_t updpwd_exec_t : file { read execute };
allow ftpd_t updpwd_t : process { transition };
type_transition ftpd_t updpwd_exec_t : process updpwd_t;

# vzajemna komunikace:
allow updpwd_t ftpd_t : fd use;
allow ftpd_t updpwd_t : process { noatsecure rlimitinh siginh };
allow updpwd_t ftpd_t : fifo_file { write getattr };
allow updpwd_t ftpd_t : process sigchld;

Přelož ho a načti:

checkmodule -m -M -o ftphack.mod ftphack.te
semodule_package -o ftphack.pp -m ftphack.mod
semodule -i ftphack.pp

[michich]

Ještě jeden detail. Tohleto:

allow ftpd_t updpwd_t : process { noatsecure rlimitinh siginh };

vlastně nepotřebuje. Bude stačit, když místo toho bude:

dontaudit ftpd_t updpwd_t : process { noatsecure rlimitinh siginh };

[michich]

A nebo si stáhni z CVSka selinux-policy verzi 2.6.4-18.fc7 nebo novější. Tam už je to opraveno.

[michich]

Tak už ani to není potřeba. V normálních updatech už je verze 2.6.4-21.fc7.

[tom pazak]

upgrade na

selinux-policy-2.6.4-21.fc7

moc nepomoh'. lokalni uzivatel se stejne nemuze prihlasit, jen v logu je jina hlaska:

- FTP session opened.
- PAM(user_name): Cannot make/remove an entry for the specified session.
- SELinux is preventing /usr/sbin/proftpd (ftpd_t) "audit_control" to Unknown (ftpd_t)

otazka je, jestli je na vine SELinux policy, nebo proftpd, protoze vsftpd s timto novym policy funguje tak jak ma.

diky za pomoc, tom

[michich]

Aha, já jsem zkoušel jenom vsftpd. V /etc/pam.d/proftpd je na posledním řádku:

session required pam_loginuid.so

Ten když zakomentuju, tak proftpd funguje. Teď je ovšem otázka, jestli to je lepší řešení než dát v SELinuxu pro ftpd_t povolení capability:audit_control...

[michich]

Ještě mi bylo divné, proč vsftpd funguje, když jeho PAM konfigurace vypadá úplně stejně. Je to tím, že vsftpd má v defaultní konfiguraci "session_support=NO", takže ty poslední PAM moduly vůbec nevolá.

[tom pazak]

diky, vyzkousim. pekne'sem si zanadaval na SELinux, tak'sem rad, ze to neni feature, ale fuckt chyba. bugy'sem sice zbezne checknul, ale tohle'sem tam neuzrel. hold'sem mel tou chvili rudo pred ocima.

tom