Apache 2.4は、正しいセキュリティコンテキストとブールセットがある場合でも、ユーザーコンテンツを読み取ることができません。

Question

簡単に見ると、sesearch --allow -s httpd_t -b httpd_read_user_content | grep user_home_dir_tSELinuxが実際にうまく機能していることがわかります。

   allow httpd_t user_home_dir_t : lnk_file { read getattr } ;
   allow httpd_t user_home_dir_t : dir { getattr search open } ;
   allow httpd_t user_home_dir_t : dir { ioctl read getattr lock search open } ;
   allow httpd_t user_home_dir_t : dir { getattr search open } ;

ここで重要なのは、ディレクトリだけでなくディレクトリ内のファイルも読みたいということです。ただし、コンテキストを変更すると、説明user_home_tに従ってApacheがディレクトリ内のファイルを読み取ることができます。sesearch --allow -s httpd_t -b httpd_read_user_content | grep user_home_t

   allow httpd_t user_home_type : dir { getattr search open } ;
   allow httpd_t user_home_type : dir { ioctl read getattr lock search open } ;
   allow httpd_t user_home_type : dir { getattr search open } ;
   allow httpd_t user_home_type : file { ioctl read getattr lock open } ;

ここで注意を引く特定の行は、fileApacheがioctlを使用してgetattrロックを読み取り、このコンテキストでファイルを開くことができることを示す最後の行です。タグ付きディレクトリを使用すると、user_home_t問題なくインデックスリストのファイルを表示できます。

Answer 1

簡単に見ると、sesearch --allow -s httpd_t -b httpd_read_user_content | grep user_home_dir_tSELinuxが実際にうまく機能していることがわかります。

   allow httpd_t user_home_dir_t : lnk_file { read getattr } ;
   allow httpd_t user_home_dir_t : dir { getattr search open } ;
   allow httpd_t user_home_dir_t : dir { ioctl read getattr lock search open } ;
   allow httpd_t user_home_dir_t : dir { getattr search open } ;

ここで重要なのは、ディレクトリだけでなくディレクトリ内のファイルも読みたいということです。ただし、コンテキストを変更すると、説明user_home_tに従ってApacheがディレクトリ内のファイルを読み取ることができます。sesearch --allow -s httpd_t -b httpd_read_user_content | grep user_home_t

   allow httpd_t user_home_type : dir { getattr search open } ;
   allow httpd_t user_home_type : dir { ioctl read getattr lock search open } ;
   allow httpd_t user_home_type : dir { getattr search open } ;
   allow httpd_t user_home_type : file { ioctl read getattr lock open } ;

ここで注意を引く特定の行は、fileApacheがioctlを使用してgetattrロックを読み取り、このコンテキストでファイルを開くことができることを示す最後の行です。タグ付きディレクトリを使用すると、user_home_t問題なくインデックスリストのファイルを表示できます。

Apache 2.4は、正しいセキュリティコンテキストとブールセットがある場合でも、ユーザーコンテンツを読み取ることができません。

答え1

関連情報