☰

selinux は init_t が httpd_sys_content_t にアクセスするのを防ぎます。

tag-icon • tag-icon linux security webserver selinux
selinux は init_t が httpd_sys_content_t にアクセスするのを防ぎます。

スクリプトを実行するシステムサービスファイルがあります。 selinuxによってブロックされました。

type=AVC msg=audit(1570329687.437:218): avc:  denied  { execute } for  pid=1079 comm="(index.sh)" name="make_index.sh" dev="md127" ino=4295130138 scontext=system_u:system_r:init_t:s0 tcontext=unconfined_u:object_r:httpd_sys_content_t:s0 tclass=file permissive=1

type=AVC msg=audit(1570329687.437:219): avc:  denied  { read open } for  pid=1079 comm="(index.sh)" path="/srv/www/sites/linux.montclaire.lan/make_index.sh" dev="md127" ino=4295130138 scontext=system_u:system_r:init_t:s0 tcontext=unconfined_u:object_r:httpd_sys_content_t:s0 tclass=file permissive=1

type=AVC msg=audit(1570329687.437:220): avc:  denied  { execute_no_trans } for  pid=1079 comm="(index.sh)" path="/srv/www/sites/linux.montclaire.lan/make_index.sh" dev="md127" ino=4295130138 scontext=system_u:system_r:init_t:s0 tcontext=unconfined_u:object_r:httpd_sys_content_t:s0 tclass=file permissive=1

type=AVC msg=audit(1570329687.450:221): avc:  denied  { ioctl } for  pid=1079 comm="make_index.sh" path="/srv/www/sites/linux.montclaire.lan/make_index.sh" dev="md127" ino=4295130138 ioctlcmd=0x5401 scontext=system_u:system_r:init_t:s0 tcontext=unconfined_u:object_r:httpd_sys_content_t:s0 tclass=file permissive=1

type=AVC msg=audit(1570329691.303:222): avc:  denied  { create } for  pid=1081 comm="make_index.sh" name="index.html" scontext=system_u:system_r:init_t:s0 tcontext=system_u:object_r:httpd_sys_content_t:s0 tclass=file permissive=1

type=AVC msg=audit(1570329691.322:223): avc:  denied  { write } for  pid=1081 comm="make_index.sh" name="index.html" dev="md127" ino=4295112722 scontext=system_u:system_r:init_t:s0 tcontext=system_u:object_r:httpd_sys_content_t:s0 tclass=file permissive=1

type=AVC msg=audit(1570329691.322:224): avc:  denied  { open } for  pid=1081 comm="make_index.sh" path="/srv/www/sites/linux.montclaire.lan/index.html" dev="md127" ino=4295112722 scontext=system_u:system_r:init_t:s0 tcontext=system_u:object_r:httpd_sys_content_t:s0 tclass=file permissive=1

type=AVC msg=audit(1570329691.322:225): avc:  denied  { append } for  pid=1081 comm="make_index.sh" name="index.html" dev="md127" ino=4295112722 scontext=system_u:system_r:init_t:s0 tcontext=system_u:object_r:httpd_sys_content_t:s0 tclass=file permissive=1

だからselinuxモジュールを作成しました。

module montclaire 1.0;

require {

    type httpd_sys_content_t;
    type init_t;
    class file { append create execute execute_no_trans ioctl open read write };
}

#============= init_t ==============
allow init_t httpd_sys_content_t:file { append create execute execute_no_trans ioctl open read write };

コンパイルしてロードします。私のスクリプトはselinuxを使って強制的に実行されています。

これは正しいことですか？私のシステムに大きな穴を開けましたか？

マイシステムサービスファイル：起動時ではなくタイマーとして実行します。

[Unit]
Description=Sync montclaire repositories
ConditionPathExists=/srv/www/sites/linux.montclaire.lan/make_index.sh

[Service]
User=nginx
Type=oneshot
WorkingDirectory=/srv/www/sites/linux.montclaire.lan
ExecStart=/srv/www/sites/linux.montclaire.lan/make_index.sh

ドメインinit_tだけがmake_index.shにアクセスできるようにする方法はありますか？ init_tを検索して見つけました。これは、init_tがこれらの特定のディレクトリとファイル「settings.php」に切り替えることができることを意味しますか？

$ sesearch -T -s init_t -t httpd_sys_content_t type_transition init_t httpd_sys_content_t:dir httpd_sys_rw_content_t "smarty"; type_transition init_t httpd_sys_content_t:dir httpd_sys_rw_content_t "アップグレード"; type_transition init_t httpd_sys_content_t：dir httpd_sys_r w_content_t "アップロード"; type_transition init_t httpd_sys_content_t:dir httpd_sys_rw_content_t "wp-content"; type_transition init_t httpd_sys_content_t：ファイルhttpd_sys_rw_content_t "settings.php";

関連情報