Root an engem Terminal, refuséiert ënner SELinux: firwat den Hook feelt

Dir fuert den up-Skript als root aus, en ass fäerdeg, an dee selwechte Skript feelt, wann den Service en oprufft. Un de Fichiersrechter huet sech näischt geännert, also ass den nächste natierleche Schrëtt, se nach eng Kéier ze lackeren, wat näischt reparéiert. Op engem SELinux-Host ass de entscheedende Faktor dacks net wien de Prozess ass, mä an wéi enger Domän en leeft, a root bannent enger ageschränkter Domän bleift ageschränkt.

Dee selwechte Befehl, zwou verschidde Sécherheetsdomänen

D’Typ-Duerchsetzung bewäertt d’Quelldomän, d’Ziletikett an d’ugefuer Operation zesummen. Är Terminal-Sessioun leeft an enger net ageschränkter oder administrativer Domän, an den Daemon leeft an der Domän, déi senger Unit zougewisen ass. Dofir ginn identesch Befehler verschidden Decisiounen, an den Ënnerscheed ass bewosst a kee Feeler an der Politik.

Dofir ass de Verglach vun deenen zwou Ausféierungen nëmmen nëtzlech, wann Dir hir Kontexter vergläicht. Fuert dee selwechte Befehl aus der Shell an aus dem Hook aus, an d’Shell-Versioun beweist, datt d’Binär existéiert an d’Argumenter richteg sinn; si beweist näischt dorëms, ob den Service däerf en ausféieren. Fuert en op béide Weeër aus a vergläicht d’Domänen, net nëmmen d’Ausgängscoden. Dee Verglach ass et, deen eng vag Erlaabnisklag an eng spezifesch Fro iwwer eng Domän an eng Etikett ëmwandelt.

Déi klassesch Form vun dësem Feeler ass en Hëllefsprogramm, deen en externen Tool oprufft. Den Hook selwer kann erlaabt sinn, während den Tool, deen en oprufft, eng Etikett dréit, déi d’Servicedomän net däerf ausféieren, oder an en Dossier schreift, deem seng Etikett et verbitt.

Liest den AVC-Record nieft dem Hook-Feeler

Eng AVC-Refus nominéiert d’Felder, déi de Fall entscheeden: de Quellkontext vum Prozess, den Zilkontext vum Objet, d’Objektklass an déi spezifesch Erlaabnis, déi refuséiert gouf. Liest all véier, ier Dir eng Theorie opstellt, well eng Refus op Ausféierung an eng Refus op Schreiwen komplett verschidde Reparaturen hunn.

ausearch -m AVC,USER_AVC -ts recent
ls -Z /usr/local/sbin/vpn-up.sh
ps -eZ | grep openvpn

De Quellkontext soll zur Domän passen, an där den Service tatsächlech leeft, an den Zilkontext zur Etikett vum Fichier oder Dossier, deen d’Operatioun beréiert huet. Wann eng vun deenen zwee net zum Feeler passt, deem Dir nogitt, liest Dir eng aner Evenement.

Notéiert d’Versioun vun der Politik an de geneeë Wee vum ausféierbare Fichier nieft dem Record. En Domännumm, deen an der Politik vun enger Distributioun optrëtt, ass Beweis iwwer déi Installatioun, keng Garantie, datt aner Build déi selwecht Regele liwwert. Dee Kontext ass et, deen aneren et erméiglecht, Är Konklusioun op sengem eegenen Host ze reproduzéieren. Ouni hien liest sech de Record wéi eng Anekdot an net wéi e Beweis.

Etikett, Konfiguratioun oder Politik: dräi Reparaturen

Déi éischt Reparatur ass eng Etikett, déi net zum installéierte Standuert vum Fichier passt. E Skript, deen mat cp op säi Platz kopéiert oder vun engem Editor geschriwwe gouf, kann eng Standardetikett droen, déi d’Servicedomän net ka benotzen, an d’Restauratioun vum erwaarte Kontext reparéiert dat, ouni d’Politik iwwerhaapt ze beréieren.

Déi zweet ass d’Konfiguratioun. D’Distributioun bitt vläicht eng ënnerstëtzt Manéier, d’Operatioun auszeféieren, en dokumentéierten Dossier fir den Hëllefsprogramm oder e aktualiséierte Politikpak, deen et schonn erlaabt. Är Layout op déi ënnerstëtzt ze änneren ass méi bëlleg wéi Politik ze schreiwen an iwwerlieft Aktualiséierungen.

Déi drëtt ass eng wierklech fehlend Regel, an et sollt de leschte Mëttel sinn. Generéiert e Kandidat mat den Audit-Tools, liest, wat en tatsächlech erlaabt, schränkt en op d’Operatioun an d’Domän an, déi Dir observéiert hutt, a léisst en aneren en iwwerpréiwen, ier en der Produktioun no kënnt.

Firwat en ale allow-Modul net d’Äntwert ass

D’Sichresultater fir dëse Feeler si voll mat fäerdege Modulen, dacks fir en Tool, deen den Hook net méi oprufft. Een ze installéieren gëtt Erlaabnisser, déi vläicht näischt mat Ärer Refus ze dinn hunn, an et léisst déi richteg Ongereimtheet op der Plaz, wärend et e permanente Lach dobäi setzt.

Et verstoppt och de nächsten Ausfall. E Modul, deen eng breet Klass vun Operatiounen erlaabt, mécht dëse Feeler verschwannen an ëmwandelt den nächsten an eppes vill méi schwéier Zouzeschreiwen. De Modul spéider ewechzehuelen ass och eng Ännerung, déi keen agendéiere wëll, dofir gëtt de Kuerzwee gär permanent.

Den disziplinéierte Verglach ass tëscht der Refus, déi Dir liese kënnt, an der Ännerung, déi Dir proposéiert. Dem Red Hat seng SELinux-Fehlerbehebungs-Guide setzt Etikett- a Konfiguratiounskontrollen aus genau dësem Grond virun der generéierter Politik. Wann et keng entspriechend Refus am Record gëtt, ass SELinux wahrscheinlech net Ärt Problem, an Problemer mam Wee, Sandbox oder Erlaabnissen bleiwen op.