Dotaz: Nefunguje apache fcgid se zapnutým selinuxem (+audit.log mlčí)

[sel]

Ahoj. Nakonfiguroval jsem si web server pro php stránky na CentOS 6. Php se spouští pomocí mod_suexec a přes mod_fcgid. Pokud vypnu vynucování selinux pravidel pomocí "setenforce 0", tak web krásně funguje, ale pokud vynucování zapnu, místo stránek vidím "Internal Server Error" a v logu httpd "(104)Connection reset by peer: mod_fcgid: error reading data from FastCGI server". Přitom vše se zdá dobře nastavené. Postupoval jsem takto:

1. setenforce 0
2. pomocí chcon jsem nastavil kontexty souborů ve /var/www
3. projel jsem audit.log a pomocí audit2allow a semodule -i jsem povolil potřebné věci
4. setenforce 1

Od této chvíle se žádné zprávy do audit.log nezapisují, ale web pořád nejde. Pořád internal server error. Jakmile dočasně vypnu vynucovací politiku, začne to fungovat tzn. selinux něco zakazuje, ale nemám vůbec páru co a proč te neloguje do audit.log.

ls -Z /var/www
(adresář web obsahuje samotné stránky a php-fcgid-scripts jednotlivé spouštěcí skripty)

-rw-------. root root system_u:object_r:quota_db_t:s0  aquota.group
-rw-------. root root system_u:object_r:quota_db_t:s0  aquota.user
drwxr-xr-x. root root system_u:object_r:httpd_sys_script_exec_t:s0 cgi-bin
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 error
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 icons
drwx------. root root system_u:object_r:lost_found_t:s0 lost+found
drwxr-xr-x. root root system_u:object_r:httpd_sys_script_exec_t:s0 php-fcgid-scripts // stejně i ve všech podadresářích a souborech
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 web // stejně i ve všech podadresářích a souborech

Kde je problém příp. jak ho mohu identifikovat, když se se mnou audit.log nebaví?

Odpovědi

[sel]

Tak jsem na to přišel. Pomocí semodule -DB jsem nastavil auditování všemu a pak už jsem postupoval přes audit2allow.... Nicméně během hledání jsem narazil na to, že není dobré nastavovat kontext souborů přes chcon, ale přes semanage fcontext a pak provést restorecon kvůli relabelingu. Je nějaká možnost zjistit, jaké změny oproti originálu jsem provedl přes chcon, abych to mohl předhodit příkazu semanage?

[l4m4]

fixfiles -R PACKAGENAME... check

Pokud tedy dokážeš alespoň identifikovat balíčky. Kontrolovat celý systém je trochu zdlouhavé.