web-dev-qa-db-ja.com

SELinux：SSSDソケットにアクセスしようとしているAIDE

/usr/sbin/aideがSSSDで使用されているソケットにアクセスしようとしていることを示すSELinux拒否が表示されます。ソケットパスは/var/lib/sss/pipes/nssです。シーラートからの関連テキストは次のとおりです。

Additional Information:
Source Context                system_u:system_r:aide_t:s0-s0:c0.c1023
Target Context                system_u:object_r:sssd_var_lib_t:s0
Target Objects                (null) [ sock_file ]
Source                        aide
Source Path                   /usr/sbin/aide

Raw Audit Messages
type=AVC msg=audit(1560503762.699:28324): avc:  denied  { write } for  
pid=37019 comm="aide" name="nss" dev=dm-3 ino=262366 
scontext=system_u:system_r:aide_t:s0-s0:c0.c1023 
tcontext=system_u:object_r:sssd_var_lib_t:s0 tclass=sock_file


type=AVC msg=audit(1560503762.699:28324): avc:  denied  { connectto } for  
pid=37019 comm="aide" path="/var/lib/sss/pipes/nss" 
scontext=system_u:system_r:aide_t:s0-s0:c0.c1023 
tcontext=system_u:system_r:sssd_t:s0 tclass=unix_stream_socket


type=SYSCALL msg=audit(1560503762.699:28324): Arch=x86_64 syscall=connect 
success=yes exit=0 a0=7 a1=7ffe5f7f2ea0 a2=6e a3=7ffe5f7f2b30 items=1 
ppid=37017 pid=37019 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 
fsgid=0 tty=(none) ses=324 comm=aide exe=/usr/sbin/aide 
subj=system_u:system_r:aide_t:s0-s0:c0.c1023 key=(null)

type=PATH msg=audit(1560503762.699:28324): item=0 name=(null) inode=262366 
dev=fd:03 mode=0140666 ouid=0 ogid=0 rdev=00:00 
obj=system_u:object_r:sssd_var_lib_t:s0 nametype=NORMAL

これを許可するようにコンテキストを変更することはできますが、AIDEがSSSDサービスによって作成されたソケットにアクセスしようとする理由を知らずにそれを行いたくありません。

selinuxaide
1
Nester

ソケットは sssdのNSSレスポンダー 、これは NIXソケットを使用することを目的としています です。これは認証デーモンであるため、おそらくこれはpasswdまたはgroupsデータベースのlibcNSSルックアップに関連しています。

ファイル整合性チェックソフトウェアがユーザー名を検索することは合理的です。ディストリビューションにバグを報告して（FedoraまたはRHELだと思いますか？）、これを許可するポリシーを出荷します。

1
John Mahowald