Dotaz: Selinux blokuje přístup ke konfiguračnímu souboru postfixu

[morek]

Prosil bych o radu s tímto problémem:

type=AVC msg=audit(1329085368.563:9818): avc:  denied  { getattr } for  pid=4652 comm="find" path="/etc/postfix/tag_as_foreign.re" dev=dm-0 ino=3671350 scontext=unconfined_u:system_r:postfix_master_t:s0 tcontext=system_u:object_r:unlabeled_t:s0 tclass=file
type=SYSCALL msg=audit(1329085368.563:9818): arch=40000003 syscall=300 success=yes exit=0 a0=ffffff9c a1=948c3dc a2=948c37c a3=100 items=0 ppid=4633 pid=4652 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts1 ses=12 comm="find" exe="/bin/find" subj=unconfined_u:system_r:postfix_master_t:s0 key=(null)

Nevím totiž ani, proč je tcontext unlabeled_t, protože ani postfix, ani find, ani tag_as_foreign.re nejsou unlabeled_t. Myslím, že jednoduché řešení pomocí audit2allow není dobrý nápad, protože navrhuje master procesu postfixu přiřadit oprávnění k unlabeled_t. Nevíte jak tohle vyřešit?

Odpovědi

[petr_p]

Umíte chybu zreprodukovat? Zjevně se mezitím značka na /etc/postfix/tag_as_foreign.re změnila. Značky může s určitým zpožděním automaticky opravovat jistý démon, na jehož jméno si nemůžu vzpomenout. Není to váš případ?

[morek]

K reprodukci chyby stačí "service postfix restart". Démon restorecond je vyplý.

[morek]

No skvělý, celý den hledám po všech čertech jak to vyřešit a teprve teď jsem si všiml, že v kontextu toho souboru mám překlep. Místo "system_u:object_r:postfix_etc_t:s0" jsem tam měl "system_u:object_r:postfix_etc_t:s". Toho překlepu jsem is všiml, když jsem chtěl zkoumat, jestli se tam nemění kontext, takže díky za pomoc Mimochodem, co přesně se všechno stane pokud místo s0 je s? Měl jsem za to, že to určuje jen kategorii pro MLS.

[Michal Ludvig]

Proc jsi vlastne ten label prirazoval rucne? On ho "restorecon -R /etc/postfix" nenastavil spravne?

[morek]

Když něco nastavuju, tak nejprve ručně nastavím kontext, vyzkouším a pak teprve přidám do politiky a s pustím restorecon - jenže restorecon nenastaví kategorii.

[Michal Ludvig]

Tyhle politiky jsou dost často wildcard na adresáře, takže by to velmi pravděpodobně fungovalo s prostým restorecon -R /etc/postfix ...

root@duat ~ # semanage fcontext -l | grep /etc/postfix
/etc/postfix.*                all files     system_u:object_r:postfix_etc_t:s0 

Zkusil jsem udělat tohle:

root@duat ~ # echo Blah > /etc/postfix/blah

root@duat ~ # restorecon -FRv /etc/postfix/
restorecon reset /etc/postfix/blah context unconfined_u:object_r:postfix_etc_t:s0->system_u:object_r:postfix_etc_t:s0

root@duat ~ # ls -lZ /etc/postfix/blah 
-rw-r--r--. root root system_u:object_r:postfix_etc_t:s0 /etc/postfix/blah

Všechno je jak má být a nemusel jsem nic extra nastavovat.

[petr_p]

Řetězec kategorie je jen alias pro číselnou konstantu (přesněji řečeno pro seznam rozsahů). Překlad je definovat v konfiguračních souborech SELinuxu. Snad by jej mělo být možné přes semanage měnit. Pokud nemáte MLS politiku, tak se obvykle na nic nepoužívá, ale přesto tam musí být smysluplná hodnota, protože hodnota se i tak porovnává, a dokonce jsem ji párkrát zahlédl ve zdrojácích targeted politiky.