Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

SELINUX me refuse les droits d'impression

chodaboy

Bonjour,

Je viens d'installer FC7 et j'ai un souci pour imprimer mes documents. Mon imprimante semble bien configurée, mais lorsque je veux imprimer, j'ai un mssage AVC SELinux, avec ce rapport :

Summary
    SELinux is preventing /sbin/udevd (udev_t) "relabelto" to par0 (device_t).

Detailed Description
    SELinux denied access requested by /sbin/udevd. It is not expected that this
    access is required by /sbin/udevd and this access may signal an intrusion
    attempt. It is also possible that the specific version or configuration of
    the application is causing it to require additional access.

Allowing Access
    Sometimes labeling problems can cause SELinux denials.  You could try to
    restore the default system file context for par0, restorecon -v par0 If this
    does not work, there is currently no automatic way to allow this access.
    Instead,  you can generate a local policy module to allow this access - see
    http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385 Or you can disable
    SELinux protection altogether. Disabling SELinux protection is not
    recommended. Please file a http://bugzilla.redhat.com/bugzilla/enter_bug.cgi
    against this package.

Additional Information        

Source Context                system_u:system_r:udev_t:SystemLow-SystemHigh
Target Context                system_u:object_r:device_t
Target Objects                par0 [ lnk_file ]
Affected RPM Packages         udev-113-11.fc7 [application]
Policy RPM                    selinux-policy-2.6.4-33.fc7
Selinux Enabled               True
Policy Type                   targeted
MLS Enabled                   True
Enforcing Mode                Permissive
Plugin Name                   plugins.catchall_file
Host Name                     localhost.localdomain
Platform                      Linux localhost.localdomain 2.6.22.1-41.fc7 #1 SMP
                              Fri Jul 27 18:10:34 EDT 2007 i686 athlon
Alert Count                   1
First Seen                    mar 21 aoû 2007 09:18:21 CEST
Last Seen                     mar 21 aoû 2007 09:45:31 CEST
Local ID                      647b2bb6-a2f7-4fa6-8969-16ca22893a9f
Line Numbers                  

Raw Audit Messages            

avc: denied { relabelto } for comm="udevd" dev=tmpfs egid=0 euid=0
exe="/sbin/udevd" exit=0 fsgid=0 fsuid=0 gid=0 items=0 name="par0" pid=2831
scontext=system_u:system_r:udev_t:s0-s0:c0.c1023 sgid=0
subj=system_u:system_r:udev_t:s0-s0:c0.c1023 suid=0 tclass=lnk_file
tcontext=system_u:object_r:device_t:s0 tty=(none) uid=0

J'ai réglé mon SELINUX sur permissive, en cochant la case Relabel on next reboot, mais mon probléme reste inchangé.

Merci de votre aide

ded

teste ca :
restorecon -v /root

chodaboy

J'ai saisi cette commande, puis redémarré le systéme, mais j'ai toujours le blocage lorsque je veux imprimer. J'ai une info-bulle SE Linux AVC denial, Dans la fenêtre document print status, le statut de mon impression est Stoppé.

ded

mes connaissance de selinux sont limité(mais je me soigne)
le mieux que je puisse te conseillé pour le moment c'est :
su -
setenforce 0

ded

j ai fait un petit tutos pour selinux(je me suis soigné)
qui explique comment modifier les règles de sécurité donc si ca te tente :
http://dedgui.free.fr/index.php?option=com_content&task=view&id=7&Itemid=6

chodaboy

Re,

Si je fais audit2allow -M local < /tmp/avcs, j'ai ce message :

compilation failed:
(unknown source)::ERROR 'syntax error' at token '' on line 6:


/usr/bin/checkmodule:  error(s) encountered while parsing configuration
/usr/bin/checkmodule:  loading policy configuration from local.te

La deuxiéme solution : audit2allow -m local -l -i /var/log/audit/audit.log > local.te
ne me retourne pas de message d'erreur, mais ne me permet pas non plus d'imprimer. Malgré plusieurs redémarrage, et plusieurs saisies de cette commande.

Mon /root/local.te contient ceci :

module local 1.0;

require {
        type udev_t;
        type device_t;
        class lnk_file { relabelfrom relabelto };
}

#============= udev_t ==============
allow udev_t device_t:lnk_file { relabelfrom relabelto };

On dirait pourtant que local.te veut autoriser udev_t à s'éxécuter, mais j'ai le même message d'erreur qu'au début : SELinux is preventing /sbin/udevd (udev_t) "relabelto" to par0 (device_t).

ded

tu as bien crée le module mais il n 'est pas chargé suis la suite du tutos !

chodaboy

ok, j'ai fait la suite dans le tuto. Je n'ai plus de message avc denial, mais lorsque je lande une impression, il ne se passe plus rien. Plus d'avc denial, l'imprimante ne démarre pas, alors qu'elle fonctionnait bien avec FC5 et que FC7 l'a détectée et installée lors de l'installation.

ded

regarde dans :
dmesg
si il n'y a rien en rapport avec ton imprimante

chodaboy

Re,

J'ai un message que je trouve bizarre dans dmesg. Le voilà :

usb 2-1: device not accepting address 2, error -71

Il me semble que ce message est apparu aprés les modifications de SELinux, sinon, c'est que je n'y avais pas prêté attention avant 🙂

ded

ton imprimante est en usb?

chodaboy

Oui, c'est une HP Deskjet 3845 en usb.
J'avais FC5 il y a encore quelques semaines, et je n'avais pas eu de souci particulier pour l'installer, et aucun soucis avec SELinux sous FC5. D'ailleurs, je n'ai pas de souvenir de SELinux sous FC5...

chodaboy

Bon, mon probléme qui semblait venir de SELinux au début n'est plus lié à SELinux,

J'ai désactivé complétement SELinux en inscrivant disabled dans /etc/selinux/config. Je vais traiter avec plus d'attention le message d'erreur dmesg sur l'usb.

ded

de tout facon avec selinux en permissif il ne fait que signaler un probleme mais n'intervient pas
tu as un probleme materiel ou avec tes drivers ouvre un autre topic pour que les autre puisse t aider
selinux je connais mais apres niveau drivers et dmesg je connais pas grand chose

chodaboy

ok, merci quand même de ton aide.

Ton tuto sur SELinux est bien fait et mérite d'être lu 😉