Product SiteDocumentation Site

7.3.7. Сообщения sealert

Блокировкам присваиваются ID, как видно в /var/log/messages. Ниже показан пример блокировки AVC (журналированной в messages), которая возникает когда Apache HTTP Server (запущенный в домене httpd_t) пытается получить доступ к файлу /var/www/html/file1 (маркированный типом samba_share_t):
hostname setroubleshoot: SELinux is preventing httpd (httpd_t) "getattr" to /var/www/html/file1 (samba_share_t). For complete SELinux messages. run sealert -l 84e0b04d-d0ad-4347-8317-22e74f6cd020
Подразумевается, что выполнение команды sealert -l 84e0b04d-d0ad-4347-8317-22e74f6cd020 покажет сообщение целиком. Эта команда работает только на локальной машине и показывает аналогичную информацию с sealert GUI:
$ sealert -l 84e0b04d-d0ad-4347-8317-22e74f6cd020

Summary:

SELinux is preventing httpd (httpd_t) "getattr" to /var/www/html/file1
(samba_share_t).

Detailed Description:

SELinux denied access to /var/www/html/file1 requested by httpd.
/var/www/html/file1 has a context used for sharing by different program. If you
would like to share /var/www/html/file1 from httpd also, you need to change its
file context to public_content_t. If you did not intend to this access, this
could signal a intrusion attempt.

Allowing Access:

You can alter the file context by executing chcon -t public_content_t
'/var/www/html/file1'

Fix Command:

chcon -t public_content_t '/var/www/html/file1'

Additional Information:

Source Context                unconfined_u:system_r:httpd_t:s0
Target Context                unconfined_u:object_r:samba_share_t:s0
Target Objects                /var/www/html/file1 [ file ]
Source                        httpd
Source Path                   /usr/sbin/httpd
Port                          <Unknown>
Host                          hostname
Source RPM Packages           httpd-2.2.10-2
Target RPM Packages
Policy RPM                    selinux-policy-3.5.13-11.fc12
Selinux Enabled               True
Policy Type                   targeted
MLS Enabled                   True
Enforcing Mode                Enforcing
Plugin Name                   public_content
Host Name                     hostname
Platform                      Linux hostname 2.6.27.4-68.fc12.i686 #1 SMP Thu Oct
30 00:49:42 EDT 2008 i686 i686
Alert Count                   4
First Seen                    Wed Nov  5 18:53:05 2008
Last Seen                     Wed Nov  5 01:22:58 2008
Local ID                      84e0b04d-d0ad-4347-8317-22e74f6cd020
Line Numbers

Raw Audit Messages

node=hostname type=AVC msg=audit(1225812178.788:101): avc:  denied  { getattr } for  pid=2441 comm="httpd" path="/var/www/html/file1" dev=dm-0 ino=284916 scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:samba_share_t:s0 tclass=file

node=hostname type=SYSCALL msg=audit(1225812178.788:101): arch=40000003 syscall=196 success=no exit=-13 a0=b8e97188 a1=bf87aaac a2=54dff4 a3=2008171 items=0 ppid=2439 pid=2441 auid=502 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 sgid=48 fsgid=48 tty=(none) ses=3 comm="httpd" exe="/usr/sbin/httpd" subj=unconfined_u:system_r:httpd_t:s0 key=(null)
Краткая сводка
Краткая сводка действия блокировки. Это та же самая блокировка, что и в /var/log/messages. В этом примере процесс httpd блокирует доступ к файлу (file1), который помечен типом samba_share_t.
Детальное описание
Более полное описание. В этом примере file1 помечен типом samba_share_t. Этот тип используется для файлов и каталогов, которые необходимо экспортировать через Samba. Описание подразумевает изменение типа на тип, который может быть доступен для Apache HTTP Server и Samba, если доступ блокируется.
Предоставление доступа
Предположения как можно разрешить доступ. Это можно сделать с помощью перемаркировки файлов, включения Булевых переменных или создания локального модуля политики. В данном случае предполагается изменения типа файла, на тип доступный Apache HTTP Server и Samba.
Команда исправления
Предполагаемая команда для предоставления доступ и разрешения блокировки. В данном примере, даётся команда, изменяющая тип file1 на public_content_t, который доступен Apache HTTP Server и Samba.
Дополнительная информация
Информация полезная в отчетах об ошибках, таких как такая как имя пакета политики и версия (selinux-policy-3.5.13-11.fc12), но не помогающая в направлении решения и устранения причин появления блокировки.
Необработанные сообщения аудита
Необработанные сообщения аудита из /var/log/audit/audit.log, связанные с блокировкой. Дополнительная информация Раздел 7.3.6, «Необработанные сообщения аудита» о каждом пункте в блокировке AVC.