Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[F8] SElinux

white.staff

Bonsoir,
Depuis ma dernière mise à jour SElinux m'envoie des alertes du style:

SELinux is preventing the dhclient from using potentially mislabeled files (./services).
SELinux is preventing the sendmail from using potentially mislabeled files (./services).
SELinux is preventing the python from using potentially mislabeled files (./services).
SELinux is preventing the sendmail from using potentially mislabeled files (./services).

Une petite aide à la compréhension de ces messages ? serait-ce des droits sur .services ? comment résoudre?
Merci de votre aide!

w.s.

pmarion

Utilises-tu 'setroubleshoot' pour analyser les alertes ?

white.staff

Oui, effectivement j'utilise setroubleshoot 2.0.5 donc j'ai des messages bien précis des différentes alertes:

par exemple,
SELinux has denied dhclient access to potentially mislabeled file(s) (./services). This means that SELinux will not allow dhclient to use these files. It is common for users to edit files in their home directory or tmp directories and then move (mv) them to system directories. The problem is that the files end up with the wrong file context which confined applications are not allowed to access.
host=localhost.localdomain type=AVC msg=audit(1207567299.396:62): avc: denied { read } for pid=15337 comm="dhclient" name="services" dev=dm-0 ino=6750231 scontext=system_u:system_r:dhcpc_t:s0 tcontext=system_u:object_r:rpm_script_tmp_t:s0 tclass=file host=localhost.localdomain type=SYSCALL msg=audit(1207567299.396:62): arch=40000003 syscall=5 success=no exit=-13 a0=119512 a1=80000 a2=1b6 a3=8435aa8 items=0 ppid=15336 pid=15337 auid=4294967295 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) comm="dhclient" exe="/sbin/dhclient" subj=system_u:system_r:dhcpc_t:s0 key=(null)

Merci de ton aide..

s.w.

white.staff

RE

Une petite aide serait bien utile, les alertes se succèdent à chaque démarrage!

merci d'avance...

white.staff

pmarion

Peux-tu faire
updatedb
locate services | grep 'services$'

Pour localiser le ou les fichiers/répertoires nommés 'services'.
Et un
ls -ldZ nom_fichier
Pour chaque fichier/répertoire 'services'.

white.staff

Merci pour ta réponse,
locate services | grep 'services$'
============================
/etc/services
/etc/avahi/services
/etc/logwatch/conf/services
/etc/logwatch/scripts/services
/etc/pam.d/system-config-services
/etc/security/console.apps/system-config-services
/home/eric/.kde/share/services
/root/.kde/share/services
/usr/bin/system-config-services
/usr/include/orbit-2.0/ORBitservices
/usr/sbin/system-config-services
/usr/share/services
/usr/share/system-config-services
/usr/share/apps/konqsidebartng/virtual_folders/services
/usr/share/dbus-1/services
/usr/share/dbus-1/system-services
/usr/share/kde-settings/kde-profile/default/share/services
/usr/share/logwatch/default.conf/services
/usr/share/logwatch/dist.conf/services
/usr/share/logwatch/scripts/services
/usr/share/selinux/devel/include/services
==================================

Que fait la commande ldZ ?

pmarion

ls -ldZ ::=
Option 'l' ::= Affichage long
Option 'd' ::= Si c'est un répertoire ne pas afficher le contenu mais seulement le nom du répertoire
Option 'Z' ::= Afficher les attributs de SELinux
Voir 'man ls'

ls -ldZ /etc/services
ls -ldZ /etc/avahi/services

white.staff

Merci pour ta réponse,
mais l'erreur ** SELinux is preventing the dhclient from using potentially mislabeled files (./services). ** s'affiche toujours.
Info complémentaires :
=================================
Contexte source: system_u:system_r:dhcpc_t:s0
Contexte cible: system_u:object_r:rpm_script_tmp_t:s0
Objets du contexte: ./services [ file ]Source: dhclientSource
Path: /sbin/dhclientPort: <Inconnu>Host: localhost.localdomainSource RPM Packages: dhclient-3.0.6-12.fc8
Target RPM Packages:
Politique RPM: selinux-policy-3.0.8-95.fc8
Selinux activé: True
Type de politique: targeted
MLS activé: TrueMode strict: EnforcingNom du plugin: home_tmp_bad_labels
Nom de l'hôte: localhost.localdomain
Plateforme: Linux localhost.localdomain 2.6.24.4-64.fc8 #1 SMP Sat Mar 29 09:54:46 EDT 2008 i686 i686
Compteur d'alertes: 28
=======================================

Merci d'y jeter un coup d'oeil!

tobi1canobe

le monsieur te dis de faire
ls -ldZ /etc/services
ls -ldZ /etc/avahi/services
pour qu'il puisse diagnostiquer. J'ajoute
locate -r '/services$' | xargs ls -ldZ
Tobias

white.staff

Merci pour vos réponses,
j'ai bien lancé les commandes:
===============================================
drwxr-xr-x root root system_u:object_r:etc_t:s0 /etc/avahi/services
drwxr-xr-x root root system_u:object_r:etc_t:s0 /etc/logwatch/conf/services
drwxr-xr-x root root system_u:object_r:etc_t:s0 /etc/logwatch/scripts/services
-rw-r--r-- root root system_u:object_r:rpm_script_tmp_t:s0 /etc/services
drwx------ eric eric system_u:object_r:unconfined_home_t:s0 /home/eric/.kde/share/services
drwx------ root root unconfined_u:object_r:user_home_t:s0 /root/.kde/share/services
drwxr-xr-x root root system_u:object_r:usr_t:s0 /usr/share/apps/konqsidebartng/virtual_folders/services
drwxr-xr-x root root system_u:object_r:usr_t:s0 /usr/share/dbus-1/services
drwxr-xr-x root root system_u:object_r:usr_t:s0 /usr/share/kde-settings/kde-profile/default/share/services
drwxr-xr-x root root system_u:object_r:usr_t:s0 /usr/share/logwatch/default.conf/services
drwxr-xr-x root root system_u:object_r:usr_t:s0 /usr/share/logwatch/dist.conf/services
drwxr-xr-x root root system_u:object_r:usr_t:s0 /usr/share/logwatch/scripts/services
drwxr-xr-x root root system_u:object_r:usr_t:s0 /usr/share/selinux/devel/include/services
drwxr-xr-x root root system_u:object_r:usr_t:s0 /usr/share/services
=======================================================
Que faire maintenant??

pmarion

-rw-r--r--  root root system_u:object_r:rpm_script_tmp_t:s0 /etc/services
drwx------  eric eric system_u:object_r:unconfined_home_t:s0 /home/eric/.kde/share/services

Ces deux là me paraissent curieux

Il vaudrait mieux changer l'attribut 'user' 'rpm_script_tmp_t' en 'etc_t' pour celui qui est dans '/etc' et 'unconfined_home_t' en 'user_home_t' pour celui qui est dans /home.
Pour modifier les contextes voir :
man chcon

Comment tout ceci est arrivé ?

white.staff

Salut,
Comment est-ce arrivé?
=> après une update, le pc bloque 5 minutes au démarrage sur le chargement des services NFS .. je dois démarrer avec un disque de boot (ubuntu ... un comble) et désactiver ce service en montant mon disque LVM (sympa les manips déjà .. ) ..
C'est depuis cela que ces erreurs n'arrête plus. Mais ce n'est peut-être pas la seule raison p:

Je tente ce que tu me dis.

white.staff

Pourrais tu me donner un exemple d'utilisation de chcon plz

pmarion

Voici un exemple de modification du fichier '/etc/services' d'abord en 'truc_machin' puis en 'etc_t'

chcon -t truc_machin /etc/services
ls -lZ /etc/services
-rw-r--r-- root root system_u:object_r:truc_machin:s0 services
chcon -t etc_t /etc/services
ls -lZ /etc/services
-rw-r--r-- root root system_u:object_r:etc_t:s0 services