| Server IP : 182.53.201.61 / Your IP : 216.73.217.175 Web Server : Apache/2.2.15 (Fedora) System : Linux km10.dyndns.org 2.6.31.5-127.fc12.i686.PAE #1 SMP Sat Nov 7 21:25:57 EST 2009 i686 User : apache ( 48) PHP Version : 5.3.3 Disable Function : NONE MySQL : ON | cURL : ON | WGET : ON | Perl : ON | Python : ON | Sudo : ON | Pkexec : ON Directory : /usr/share/locale/es/LC_MESSAGES/ |
Upload File : |
\ a 1 ! = S V g h V | $ < a ! # % ' ) *6 , R , . . /r 0 0 1 2( 2 t 3K 3 4_ } 4 } 5c } 5 6_ 6 7m 7 8 \ 9 :z ; x ; =^ = & > C ? @ A B~ B C D D E F . L b N P q Q4 S Vb XL Yi \ ] _a `q bO d* e U gl 4 i k m nE ' oJ
pr q} r| sk t u v w x y . z { | ~B ! . V " y S ~ P # 5 p l " G N N 9 V G ] ' O k R A q I f P V b V q G S W d j h ' b l L ` U N \ R W H K P U B N 5 E G N d a a ^ ( M c O 9 V ` a A V X I S X U T L ^ \ ] } ^ _ _ 5 S u H Q B d f G D V G q U t ^ 1 I A 8 K 8 F > Z ] ? D V ñ Y h ] X Z y p Z E ` ̠ Y [ + E G x D L $ X S Q
z t 3 e _ J e f w 0 J v O M * h
1
"
)
7 ; B ~ 3 *
+ 6 < > G 0 x U Z i s C
T # & ( J s # c U " L o z !7 ! "a " #z $ $ % % &: & '_ ( ) *d ,v -6 D - \ / 0n 1r 2 2 3 3 4H = 5F n 6 < < i ?0 @ A Dz GR IK Ji M4 O J P R h T( V Xd Z u \ _, ` ) a ) b 6 d) e` fg g| h i j k l m > o pH qY s H t u^ 3 vb } w y z } O ~ @ T P $ X @ j W Q \ _ U j d R " W H t q z [ a I W W _ x 0 v ~ B P Q S d b U N q h b ) C L @ S ^ R e k K u [ T 4 f ! t G b W 6 B y P m ( b a _ > k l y E T C i H ^ 3 a N 5 Y ; ] y a [ Z
f * ő i U d ȿ $ f > ω u R Ӗ Z y [ d
o 2 + ; ^ 8 7 4 ? @ = v 5 < r o P x y 9 . p v $ $ 0 S
9 $ + 2 8 @ O ; U 7 , ' & B i v D m C V R ) 4 / . Q e z
2 A d w 8 _ t [ r v ( ! < + B { p P b , O H 3 ^ 9 # l ` x E 7 j W s - N u " T h :
\ f k = U @ & n q Z 6 % M > c I G 0 1 ~ K F a Y $ o L ' ; g | 5 X y ] ? * J } i S
SELinux denied access requested by $SOURCE. It is not
expected that this access is required by $SOURCE and this access
may signal an intrusion attempt. It is also possible that the specific
version or configuration of the application is causing it to require
additional access.
SELinux denied access requested by $SOURCE. The current boolean
settings do not allow this access. If you have not setup $SOURCE to
require this access this may signal an intrusion attempt. If you do intend
this access you need to change the booleans on this system to allow
the access.
SELinux has denied $SOURCE "$ACCESS" access to device $TARGET_PATH.
$TARGET_PATH is mislabeled, this device has the default label of the /dev directory, which should not
happen. All Character and/or Block Devices should have a label.
You can attempt to change the label of the file using
restorecon -v '$TARGET_PATH'.
If this device remains labeled device_t, then this is a bug in SELinux policy.
Please file a bg report.
If you look at the other similar devices labels, ls -lZ /dev/SIMILAR, and find a type that would work for $TARGET_PATH,
you can use chcon -t SIMILAR_TYPE '$TARGET_PATH', If this fixes the problem, you can make this permanent by executing
semanage fcontext -a -t SIMILAR_TYPE '$TARGET_PATH'
If the restorecon changes the context, this indicates that the application that created the device, created it without
using SELinux APIs. If you can figure out which application created the device, please file a bug report against this application.
Attempt restorecon -v '$TARGET_PATH' or chcon -t SIMILAR_TYPE '$TARGET_PATH'
Changing the "$BOOLEAN" boolean to true will allow this access:
"setsebool -P $BOOLEAN=1"
Changing the "$BOOLEAN" boolean to true will allow this access:
"setsebool -P $BOOLEAN=1."
Changing the "allow_ftpd_use_nfs" boolean to true will allow this access:
"setsebool -P allow_ftpd_use_nfs=1."
Changing the file_context to mnt_t will allow mount to mount the file system:
"chcon -t mnt_t '$TARGET_PATH'."
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t mnt_t '$TARGET_PATH'"
Confined processes can be configured to run requiring different access, SELinux provides booleans to allow you to turn on/off
access as needed.
If ftp should be allowed to write to this directory you need to turn
on the $BOOLEAN boolean and change the file context of
the public directory to public_content_rw_t. Read the rsync_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If httpd scripts should be allowed to write to public directories you need to turn on the $BOOLEAN boolean and change the file context of the public directory to public_content_rw_t. Read the httpd_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If httpd should be allowed to write to this directory you need to turn
on the $BOOLEAN boolean and change the file context of
the public directory to public_content_rw_t. Read the httpd_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If samba should be allowed to write to this directory you need to turn
on the $BOOLEAN boolean and change the file context of
the public directory to public_content_rw_t. Read the samba_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If the ftp daemon should be allowed to write to this directory you need to turn
on the $BOOLEAN boolean and change the file context of
the public directory to public_content_rw_t. Read the ftpd_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If you allow the management of the kernel modules on your machine,
turn off the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=0".
If you created a directory in / and want $SOURCE to use these files you must tell SELinux about it by changing the labels. Execute the following commands: <br>
<b># semanage fcontext -t FILE_TYPE '$TARGET_PATH%s' </b>
<br>where FILE_TYPE is one of the following: %s.
<br><b># restorecon -v $TARGET_PATH</b>
<br><br>If the $TARGET_PATH is not in / you probably need to relabel the system. Execute:
<br><b>"touch /.autorelabel; reboot"</b>
If you do not want SELinux preventing ftp from writing files anywhere on
the system you need to turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you trust $TARGET_PATH to run correctly, you can change the
file context to textrel_shlib_t. "chcon -t textrel_shlib_t
'$TARGET_PATH'"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t textrel_shlib_t '$TARGET_PATH'"
If you want $SOURCE to access this files, you need to
relabel them using restorecon -v '$TARGET_PATH'. You might want to
relabel the entire directory using restorecon -R -v '$TARGET_DIR'.
If you want $SOURCE to continue, you must turn on the
$BOOLEAN boolean. Note: This boolean will affect all applications
on the system.
If you want ftp to allow users access to their home directories
you need to turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to allow database connections you need to turn on the
$BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to be able to run a particular shell script,
you can label it with chcon -t httpd_sys_script_exec_t SCRIPTFILE. If you
want httpd to be able execute any shell script you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want httpd to be able to run cgi scripts, you need to
turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to connect to httpd/ftp ports you need to turn
on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to connect to network ports you need to turn on the
httpd_can_network_network_connect boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to send mail you need to turn on the
$BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want named to run as a secondary server and accept zone
transfers you need to turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want ppp to be able to insert kernel modules you need to
turn on the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want samba to share home directories you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want samba to share nfs file systems you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want spamd to share home directories you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want squid to connect to network ports you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want the http daemon to be able to access the terminal, you
must set the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want the http daemon to share home directories you need to
turn on the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want the http daemon to use built in scripting you need to
enable the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want the sasl authentication daemon to be able to read
the /etc/shadow file change the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1".
If you want to allow $SOURCE to bind to port $PORT_NUMBER, you can execute <br>
<b># semanage port -a -t PORT_TYPE -p %s $PORT_NUMBER</b>
<br>where PORT_TYPE is one of the following: %s.
<br><br>If this system is running as an NIS Client, turning on the allow_ypbind boolean may fix the problem. setsebool -P allow_ypbind=1.
If you want to allow $SOURCE to bind to this port
semanage port -a -t inetd_child_port_t -p PROTOCOL $PORT_NUMBER
Where PROTOCOL is tcp or udp.
If you want to allow $SOURCE to connect to $PORT_NUMBER, you can execute <br>
<b>semanage port -a -t PORT_TYPE -p %s $PORT_NUMBER</b>
<br>where PORT_TYPE is one of the following: %s.
If you want to allow $SOURCE to execute $TARGET_PATH:
chcon -t bin_t '$TARGET_PATH'
If this fix works, please update the file context on disk, with the following command:
semanage fcontext -a -t bin_t '$TARGET_PATH'
Please specify the full path to the executable, Please file a bug report
to make sure this becomes the default labeling.
If you want to allow user programs to run as TCP Servers, you can turn on the user_tcp_server boolean, by executing:
setsebool -P $BOOLEAN=1
If you want to allow zebra to overwrite its configuration you must
turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want to change the file context of $TARGET_PATH so that the automounter can execute it you can execute "chcon -t bin_t $TARGET_PATH". If you want this to survive a relabel, you need to permanently change the file context: execute "semanage fcontext -a -t bin_t $TARGET_PATH".
If you want to change the file context of $TARGET_PATH so that the httpd
daemon can access it, you need to execute it using
semanage fcontext -a -t FILE_TYPE '$TARGET_PATH'.
<br><br>where FILE_TYPE is one of the following: %s.
You can look at the httpd_selinux man page for additional information.
If you want to change the file context of $TARGET_PATH so that the tftp
daemon can modify it, you need to execute it using<br>
<b># semanage fcontext -m tftpdir_rw_t '/tftpboot(/.*)?'</b>
<br><b># restorecon -R -v /tftpboot</b></br>
If you want to export a public file systems using nfs you need to
turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1".
If you want to export file systems using nfs you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1".
If you want to export file systems using samba you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1".
If you want to export writable file systems using nfs you need to turn on the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1".
If you want to export writable file systems using samba you need to turn on the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1".
If you want to modify the way SELinux is running on your machine
you need to bring the machine to single user mode with enforcing
turned off. The turn off the secure_mode_policyload boolean:
"setsebool -P secure_mode_policyload=0".
SELinux denied $SOURCE access to $TARGET_PATH.
If this is a swapfile it has to have a file context label of
swapfile_t. If you did not intend to use
$TARGET_PATH as a swapfile it probably indicates a bug, however it could also
signal a intrusion attempt.
SELinux denied access requested by $SOURCE. $TARGET_PATH may
be a mislabeled. $TARGET_PATH default SELinux type is
<B>$MATCHTYPE</B>, but its current type is <B>$TARGET_TYPE</B>. Changing
this file back to the default type, may fix your problem.
<p>
File contexts can be assigned to a file in the following ways.
<ul>
<li>Files created in a directory receive the file context of the parent directory by default.
<li>The SELinux policy might override the default label inherited from the parent directory by
specifying a process running in context A which creates a file in a directory labeled B
will instead create the file with label C. An example of this would be the dhcp client running
with the dhclient_t type and creating a file in the directory /etc. This file would normally
receive the etc_t type due to parental inheritance but instead the file
is labeled with the net_conf_t type because the SELinux policy specifies this.
<li>Users can change the file context on a file using tools such as chcon, or restorecon.
</ul>
This file could have been mislabeled either by user error, or if an normally confined application
was run under the wrong domain.
<p>
However, this might also indicate a bug in SELinux because the file should not have been labeled
with this type.
<p>
If you believe this is a bug, please file a bug report against this package.
SELinux denied access requested by the $SOURCE command. It looks like this is either a leaked descriptor or $SOURCE output was redirected to a file it is not allowed to access. Leaks usually can be ignored since SELinux is just closing the leak and reporting the error. The application does not use the descriptor, so it will run properly. If this is a redirection, you will not get output in the $TARGET_PATH. You should generate a bugzilla on selinux-policy, and it will get routed to the appropriate package. You can safely ignore this avc.
SELinux denied access to $TARGET_PATH requested by $SOURCE.
$TARGET_PATH has a context used for sharing by a different program. If you
would like to share $TARGET_PATH from $SOURCE also, you need to
change its file context to public_content_t. If you did not intend to
allow this access, this could signal an intrusion attempt.
SELinux denied cvs access to $TARGET_PATH.
If this is a CVS repository it needs to have a file context label of
cvs_data_t. If you did not intend to use $TARGET_PATH as a CVS repository
it could indicate either a bug or it could signal an intrusion attempt.
SELinux denied prelink $ACCESS on $TARGET_PATH.
The prelink program is only allowed to manipulate files that are identified as
executables or shared libraries by SELinux. Libraries that get placed in
lib directories get labeled by default as a shared library. Similarly,
executables that get placed in a bin or sbin directory get labeled as executables by SELinux. However, if these files get installed in other directories
they might not get the correct label. If prelink is trying
to manipulate a file that is not a binary or share library this may indicate an
intrusion attack.
SELinux denied qemu access to $TARGET_PATH.
If this is a virtualization image, it has to have a file context label of
virt_image_t. The system is setup to label image files in directory./var/lib/libvirt/images
correctly. We recommend that you copy your image file to /var/lib/libvirt/images.
If you really want to have your qemu image files in the current directory, you can relabel $TARGET_PATH to be virt_image_t using chcon. You also need to execute semanage fcontext -a -t virt_image_t '$TARGET_PATH' to add this
new path to the system defaults. If you did not intend to use $TARGET_PATH as a qemu
image it could indicate either a bug or an intrusion attempt.
SELinux denied qemu access to the block device $TARGET_PATH.
If this is a virtualization image, it needs to be labeled with a virtualization file context (virt_image_t). You can relabel $TARGET_PATH to be virt_image_t using chcon. You also need to execute semanage fcontext -a -t virt_image_t '$TARGET_PATH' to add this
new path to the system defaults. If you did not intend to use $TARGET_PATH as a qemu
image it could indicate either a bug or an intrusion attempt.
SELinux denied rsync access to $TARGET_PATH.
If this is a RSYNC repository it has to have a file context label of
rsync_data_t. If you did not intend to use $TARGET_PATH as a rsync repository
it could indicate either a bug or it could signal a intrusion attempt.
SELinux denied xen access to $TARGET_PATH.
If this is a XEN image, it has to have a file context label of
xen_image_t. The system is setup to label image files in directory /var/lib/xen/images
correctly. We recommend that you copy your image file to /var/lib/xen/images.
If you really want to have your xen image files in the current directory, you can relabel $TARGET_PATH to be xen_image_t using chcon. You also need to execute semanage fcontext -a -t xen_image_t '$TARGET_PATH' to add this
new path to the system defaults. If you did not intend to use $TARGET_PATH as a xen
image it could indicate either a bug or an intrusion attempt.
SELinux has denied $SOURCE access to potentially
mislabeled file(s) ($TARGET_PATH). This means that SELinux will not
allow $SOURCE to use these files. It is common for users to edit
files in their home directory or tmp directories and then move
(mv) them to system directories. The problem is that the files
end up with the wrong file context which confined applications are not allowed to access.
SELinux has denied $SOURCE from connecting to a network port $PORT_NUMBER which does not have an SELinux type associated with it.
If $SOURCE should be allowed to connect on $PORT_NUMBER, use the <i>semanage</i> command to assign $PORT_NUMBER to a port type that $SOURCE_TYPE can connect to (%s).
<br><br>If $SOURCE is not supposed
to connect to $PORT_NUMBER, this could signal a intrusion attempt.
SELinux has denied kernel module utilities from modifying
kernel modules. This machine is hardened to not allow the kernel to
be modified, except in single user mode. If you did not try to
manage a kernel module, this probably signals an intrusion.
SELinux has denied the $SOURCE access to potentially
mislabeled files $TARGET_PATH. This means that SELinux will not
allow httpd to use these files. If httpd should be allowed this access to these files you should change the file context to one of the following types, %s.
Many third party apps install html files
in directories that SELinux policy cannot predict. These directories
have to be labeled with a file context which httpd can access.
SELinux has denied the $SOURCE from binding to a network port $PORT_NUMBER which does not have an SELinux type associated with it.
If $SOURCE is supposed to be allowed to listen on this port, you can use the semanage command to add this port to a inetd_child_port_t type. If you think this is the default please file a bug report against the selinux-policy package.
If $SOURCE is not supposed
to bind to this port, this could signal an intrusion attempt.
SELinux has denied the $SOURCE from binding to a network port $PORT_NUMBER which does not have an SELinux type associated with it.
If $SOURCE should be allowed to listen on $PORT_NUMBER, use the <i>semanage</i> command to assign $PORT_NUMBER to a port type that $SOURCE_TYPE can bind to (%s).
<br><br>If $SOURCE is not supposed
to bind to $PORT_NUMBER, this could signal an intrusion attempt.
SELinux has denied the $SOURCE from executing $TARGET_PATH.
If $SOURCE is supposed to be able to execute $TARGET_PATH, this could be a labeling problem. Most confined domains are allowed to execute files labeled bin_t. So you could change the labeling on this file to bin_t and retry the application. If this $SOURCE is not supposed to execute $TARGET_PATH, this could signal an intrusion attempt.
SELinux has denied the $SOURCE program from binding to a network port $PORT_NUMBER which does not have an SELinux type associated with it.
$SOURCE does not have an SELinux policy defined for it when run by the user, so it runs in the users domain. SELinux is currently setup to
deny TCP servers to run within the user domain. If you do not expect programs like $SOURCE to bind to a network port, then this could signal
an intrusion attempt. If this system is running as an NIS Client, turning on the allow_ypbind boolean may fix the problem.
setsebool -P allow_ypbind=1.
SELinux has denied the $SOURCE the ability to mmap low area of the kernel
address space. The ability to mmap a low area of the address space, as
configured by /proc/sys/kernel/mmap_min_addr. Preventing such mappings
helps protect against exploiting null deref bugs in the kernel. All
applications that need this access should have already had policy written
for them. If a compromised application tries modify the kernel this AVC
would be generated. This is a serious issue. Your system may very well be
compromised.
SELinux has denied the $SOURCE_PATH from executing potentially
mislabeled files $TARGET_PATH. Automounter can be setup to execute
configuration files. If $TARGET_PATH is an automount executable
configuration file it needs to have a file label of bin_t.
If automounter is trying to execute something that it is not supposed to, this could indicate an intrusion attempt.
SELinux has denied the Point-to-Point Protocol daemon from
inserting a kernel module. If pppd is not setup to insert kernel
modules, this probably signals a intrusion attempt.
SELinux has denied the ftp daemon access to users home directories
($TARGET_PATH). Someone is attempting to login via your ftp daemon
to a user account. If you only setup ftp to allow anonymous ftp,
this could signal an intrusion attempt.
SELinux has denied the ftp daemon write access to directories outside
the home directory ($TARGET_PATH). Someone has logged in via
your ftp daemon and is trying to create or write a file. If you only setup
ftp to allow anonymous ftp, this could signal an intrusion attempt.
SELinux has denied the http daemon access to users' home
directories. Someone is attempting to access your home directories
via your http daemon. If you have not setup httpd to share home
directories, this probably signals an intrusion attempt.
SELinux has denied the http daemon from connecting to $PORT_NUMBER. An
httpd script is trying to make a network connection to a remote port. If you
did not setup httpd to make network connections, this could signal an intrusion attempt.
SELinux has denied the http daemon from connecting to a database. An
httpd script is trying to connect to a database port. If you did not
setup httpd to allow database connections, this could signal an intrusion attempt.
SELinux has denied the http daemon from connecting to itself or
the relay ports. An httpd script is trying to make a network connection
to an http/ftp port. If you did not setup httpd to make network
connections, this could signal an intrusion attempt.
SELinux has denied the http daemon from executing a cgi
script. httpd can be setup in a locked down mode where cgi scripts
are not allowed to be executed. If the httpd server has been setup
to not execute cgi scripts, this could signal an intrusion attempt.
SELinux has denied the http daemon from executing a shell
script. Ordinarily, httpd requires that all scripts (CGIs) be
labeled httpd_sys_script_exec_t. If httpd should not be running
this shell script, this could signal an intrusion attempt.
SELinux has denied the http daemon from listening for incoming
connections on the ftp port. This means that SELinux will not
allow httpd to run as a ftp server. If you did not setup httpd to
run as a ftp server, this may signal an intrusion attempt.
SELinux has denied the http daemon from sending mail. An
httpd script is trying to connect to a mail port or execute the
sendmail command. If you did not setup httpd to sendmail, this could
signal a intrusion attempt.
SELinux has denied the http daemon from using built-in scripting.
This means that SELinux will not allow httpd to use loadable
modules to run scripts internally. If you did not setup httpd to
use built-in scripting, this may signal an intrusion attempt.
SELinux has denied the management tools from modifying the way the
SELinux policy runs. This machine is hardened, so if you did not run
any SELinux tools, this probably signals an intrusion.
SELinux has denied the named daemon from writing zone
files. Ordinarily, named is not required to write to these files.
Only secondary servers should be required to write to these
directories. If this machine is not a secondary server, this
could signal an intrusion attempt.
SELinux has denied the samba daemon access to nfs file
systems. Someone is attempting to access an nfs file system via
your samba daemon. If you did not setup samba to share nfs file
systems, this probably signals an intrusion attempt.
SELinux has denied the samba daemon access to users' home
directories. Someone is attempting to access your home directories
via your samba daemon. If you only setup samba to share non-home
directories, this probably signals an intrusion attempt.
For more information on SELinux integration with samba, look at the
samba_selinux man page. (man samba_selinux)
SELinux has denied the sasl authentication daemon from reading the
/etc/shadow file. If the sasl authentication daemon (saslauthd) is
not setup to read the /etc/shadow, this could signal an
intrusion.
SELinux has denied the spamd daemon access to users' home
directories. Someone is attempting to access your home directories
via your spamd daemon. If you only setup spamd to share non-home
directories, this probably signals an intrusion attempt.
SELinux has denied the squid daemon from connecting to
$PORT_NUMBER. By default squid policy is setup to deny squid
connections. If you did not setup squid to network connections,
this could signal a intrusion attempt.
SELinux has denied the zebra daemon from writing out its
configuration files. Ordinarily, zebra is not required to write
its configuration files. If zebra was not setup to write the
config files, this could signal an intrusion attempt.
SELinux has prevented $SOURCE from loading a kernel module.
All confined programs that need to load kernel modules should have already had policy
written for them. If a compromised application
tries to modify the kernel this AVC will be generated. This is a serious
issue. Your system may very well be compromised.
SELinux has prevented $SOURCE from modifying $TARGET. This denial
indicates $SOURCE was trying to modify the selinux policy configuration.
All applications that need this access should have already had policy
written for them. If a compromised application tries to modify the SELinux
policy this AVC will be generated. This is a serious issue. Your system
may very well be compromised.
SELinux has prevented $SOURCE from modifying $TARGET. This denial
indicates $SOURCE was trying to modify the way the kernel runs or to
actually insert code into the kernel. All applications that need this
access should have already had policy written for them. If a compromised
application tries to modify the kernel this AVC will be generated. This is a
serious issue. Your system may very well be compromised.
SELinux has prevented $SOURCE from writing to a file under /selinux.
Files under /selinux control the way SELinux is configured.
All programs that need to write to files under /selinux should have already had policy
written for them. If a compromised application tries to turn off SELinux
this AVC will be generated. This is a serious issue. Your system may very
well be compromised.
SELinux has prevented vbetool from performing an unsafe memory operation.
SELinux has prevented wine from performing an unsafe memory operation.
SELinux has preventing the nfs daemon (nfsd) from read files on
the local system. If you have not exported these file systems, this
could signal an intrusion.
SELinux has preventing the nfs daemon (nfsd) from writing files on the local system. If you have not exported any file systems (rw), this could signal an intrusion.
SELinux has preventing the nfs daemon (nfsd) from writing to
directories marked as public. Usually these directories are
shared between multiple network daemons, like nfs, apache, ftp
etc. If you have not exported any public file systems for
writing, this could signal an intrusion.
SELinux has preventing the samba daemon (smbd) from reading files on
the local system. If you have not exported these file systems, this
could signal an intrusion.
SELinux has preventing the samba daemon (smbd) from writing files on the local system. If you have not exported any file systems (rw), this could signal an intrusion.
SELinux is not allowing the http daemon to communicate with the
terminal. Most daemons do not need to communicate
with the terminal. httpd can be setup to require information
during the boot process which would require this access. If you
did not setup httpd to require access to the terminal, this may
signal an intrusion attempt.
SELinux is preventing $SOURCE "$ACCESS" access to files with the default label, default_t.
The default_t label is the default label for new directories created under the / directory. No confined applications are allowed to access files labeled default_t. This probably indicates a labeling problem, especially if the files being referred
to are not top level directories. Any files/directories under standard system directories, /usr,
/var. /dev, /tmp, ..., should not be labeled with the default_t. If you create a new directory in / it will get this label.
SELinux is preventing $SOURCE from creating a file with a context of $SOURCE_TYPE on a filesystem.
Usually this happens when you ask the cp command to maintain the context of a file when
copying between file systems, "cp -a" for example. Not all file contexts should be maintained
between the file systems. For example, a read-only file type like iso9660_t should not be placed
on a r/w system. "cp -P" might be a better solution, as this will adopt the default file context
for the destination.
SELinux is preventing $SOURCE_PATH "$ACCESS" access on $TARGET_PATH.
SELinux is preventing $SOURCE_PATH "$ACCESS" access to $TARGET_PATH.
SELinux is preventing $SOURCE_PATH "$ACCESS" access to device $TARGET_PATH.
SELinux is preventing $SOURCE_PATH "$ACCESS" to $TARGET_PATH.
SELinux is preventing $SOURCE_PATH access to a leaked $TARGET_PATH file descriptor.
SELinux is preventing $SOURCE_PATH from binding to port $PORT_NUMBER.
SELinux is preventing $SOURCE_PATH from changing the access
protection of memory on the heap.
SELinux is preventing $SOURCE_PATH from connecting to port $PORT_NUMBER.
SELinux is preventing $SOURCE_PATH from creating a file with a context of $SOURCE_TYPE on a filesystem.
SELinux is preventing $SOURCE_PATH from executing $TARGET_PATH.
SELinux is preventing $SOURCE_PATH from loading $TARGET_PATH which requires text relocation.
SELinux is preventing $SOURCE_PATH from making the program stack executable.
SELinux is preventing $SOURCE_PATH from using potentially mislabeled files $TARGET_PATH.
SELinux is preventing Samba ($SOURCE_PATH) "$ACCESS" access to $TARGET_PATH.
SELinux is preventing access to files with the label, file_t.
SELinux is preventing cvs ($SOURCE_PATH) "$ACCESS" access to $TARGET_PATH
SELinux is preventing firefox from making its memory writable and executable.
SELinux is preventing the $SOURCE_PATH from executing potentially mislabeled files $TARGET_PATH.
SELinux is preventing the $SOURCE_PATH from using potentially mislabeled files ($TARGET_PATH).
SELinux is preventing the ftp daemon from reading users home directories ($TARGET_PATH).
SELinux is preventing the ftp daemon from writing files outside the home directory ($TARGET_PATH).
SELinux is preventing the http daemon from acting as a ftp server.
SELinux is preventing the http daemon from communicating with the terminal.
SELinux is preventing the http daemon from connecting to a database.
SELinux is preventing the http daemon from connecting to itself or the relay ports
SELinux is preventing the http daemon from connecting to network port $PORT_NUMBER
SELinux is preventing the http daemon from executing a shell script
SELinux is preventing the http daemon from executing cgi scripts.
SELinux is preventing the http daemon from reading users' home directories.
SELinux is preventing the http daemon from sending mail.
SELinux is preventing the http daemon from using built-in scripting.
SELinux is preventing the kernel modules from being loaded.
SELinux is preventing the modification of the running policy.
SELinux is preventing the named daemon from writing to the zone directory
SELinux is preventing the nfs daemon from allowing clients to write to public directories.
SELinux is preventing the nfs daemon from allowing remote clients to write local files.
SELinux is preventing the nfs daemon from serving r/o local files to remote clients.
SELinux is preventing the ppp daemon from inserting kernel modules.
SELinux is preventing the samba daemon from allowing remote clients to write local files.
SELinux is preventing the samba daemon from reading nfs file systems.
SELinux is preventing the samba daemon from reading users' home directories.
SELinux is preventing the samba daemon from serving r/o local files to remote clients.
SELinux is preventing the sasl authentication server from reading the /etc/shadow file.
SELinux is preventing the spamd daemon from reading users' home directories.
SELinux is preventing the squid daemon from connecting to network port $PORT_NUMBER
SELinux is preventing the tftp daemon from modify $TARGET_PATH.
SELinux is preventing the users from running TCP servers in the usedomain.
SELinux is preventing the zebra daemon from writing its configuration files
SELinux is preventing xen ($SOURCE_PATH) "$ACCESS" access to $TARGET_PATH.
SELinux permission checks on files labeled file_t are being
denied. file_t is the context the SELinux kernel gives to files
that do not have a label. This indicates a serious labeling
problem. No files on an SELinux box should ever be labeled file_t.
If you have just added a new disk drive to the system you can
relabel it using the restorecon command. Otherwise you should
relabel the entire file system.
SELinux policy is preventing an httpd script from writing to a public
directory.
SELinux policy is preventing an httpd script from writing to a public
directory. If httpd is not setup to write to public directories, this
could signal an intrusion attempt.
SELinux policy is preventing the ftp daemon from writing to a public
directory.
SELinux policy is preventing the ftp daemon from writing to a public
directory. If ftpd is not setup to allow anonymous writes, this
could signal an intrusion attempt.
SELinux policy is preventing the http daemon from writing to a public
directory.
SELinux policy is preventing the http daemon from writing to a public
directory. If httpd is not setup to write to public directories, this
could signal an intrusion attempt.
SELinux policy is preventing the rsync daemon from writing to a public
directory.
SELinux policy is preventing the rsync daemon from writing to a public
directory. If rsync is not setup to allow anonymous writes, this
could signal an intrusion attempt.
SELinux policy is preventing the samba daemon from writing to a public
directory.
SELinux policy is preventing the samba daemon from writing to a public
directory. If samba is not setup to allow anonymous writes, this
could signal an intrusion attempt.
SELinux prevented $SOURCE from $ACCESS files stored in the mail spool directory.
$SOURCE attempted to write one or more files or directories, postfix
ordinarily does not need this access. However it can be setup to allow
this.
If you have not configured $SOURCE to write to the mail spool
this access attempt could signal an intrusion attempt.
SELinux prevented $SOURCE from $ACCESS files stored mail spool directory.
SELinux prevented $SOURCE from $ACCESS files stored on a NFS filesystem.
NFS (Network Filesystem) is a network filesystem commonly used on Unix / Linux
systems.
$SOURCE attempted to read one or more files or directories from
a mounted filesystem of this type. As NFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured $SOURCE to read files from a NFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented $SOURCE from $ACCESS files stored on a NFS filesytem.
SELinux prevented $SOURCE from $ACCESS files stored on a Windows SMB/CIFS (Samba) filesystem.
CIFS is a network filesystem commonly used on Windows systems.
$SOURCE attempted to read one or more files or directories from
a mounted filesystem of this type. As CIFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured $SOURCE to read files from a CIFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented $SOURCE from $ACCESS files stored on a Windows SMB/CIFS (Samba) filesytem.
SELinux prevented $SOURCE from accessing the cron spool file.
SELinux prevented $SOURCE from accessing the cron spool file.
This access is normally needed when using fcron as a cron daemon
(<a href="http://fcron.free.fr/">http://fcron.free.fr</a>). If you are using fcron you should allow this
access. Otherwise this access attempt may signal an intrusion attempt.
SELinux prevented $SOURCE from correctly running as a daemon.
SELinux prevented $SOURCE from correctly running as a daemon.
FTP servers can be configured to either run through xinetd or as a
stand-alone daemon. Each configuration requires slightly different
access. If you have configured your FTP server to run as a daemon
you should allow this access. Otherwise this may signal an intrusion
attempt.
SELinux prevented $SOURCE from mounting a filesystem on the file
or directory "$TARGET_PATH" of type "$TARGET_TYPE". By default
SELinux limits the mounting of filesystems to only some files or
directories (those with types that have the mountpoint attribute). The
type "$TARGET_TYPE" does not have this attribute. You can change the
label of the file or directory.
SELinux prevented $SOURCE from mounting a filesystem on the file
or directory "$TARGET_PATH" of type "$TARGET_TYPE". By default
SELinux limits the mounting of filesystems to only some files or
directories (those with types that have the mountpoint attribute). The
type "$TARGET_TYPE" does not have this attribute. You can either
relabel the file or directory or set the boolean "$BOOLEAN" to true to
allow mounting on any file or directory.
SELinux prevented $SOURCE from mounting on the file or directory
"$TARGET_PATH" (type "$TARGET_TYPE").
SELinux prevented $SOURCE from mounting on the file or directory
"$TARGET_PATH".
SELinux prevented $SOURCE from reading from the urandom device.
SELinux prevented $SOURCE from reading from the urandom device.
This access should be allowed for individual applications, but there
are situations where all applications require the access (for example,
when ProPolice/SSP stack smashing protection is used). Allowing this
access may allow malicious applications to drain the kernel entropy
pool. This can compromise the ability of some software that is
dependent on high quality random numbers (e.g., ssh-keygen) to operate
effectively. The risk of this type of attack is relatively low.
SELinux prevented $SOURCE from using NIS (yp) for
authentication. If you have configured the system to use NIS
this access is expected but is not currently allowed by
SELinux. Otherwise this access may signal an intrusion.
SELinux prevented $SOURCE from using NIS (yp).
SELinux prevented $SOURCE from using kerberos for
authentication. If you have configured the system to use kerberos
this access is expected but is not currently allowed by
SELinux. Otherwise this access may signal an intrusion.
SELinux prevented $SOURCE from using kerberos.
SELinux prevented $SOURCE from writing $TARGET_PATH.
SELinux prevented $SOURCE from writing $TARGET_PATH.
If $TARGET_PATH is a core file, you may want to allow this. If $TARGET_PATH is not a core file, this could signal an intrusion attempt.
SELinux prevented a java plugin ($SOURCE_TYPE) from making the stack executable.
SELinux prevented a mplayer plugin ($SOURCE_TYPE) from making the stack executable.
SELinux prevented httpd $ACCESS access to http files.
SELinux prevented the CVS application from reading the shadow password file.
SELinux prevented the CVS application from reading the shadow password file.
The CVS application requires this access when it is configured for direct
connection (i.e., pserver) and to authenticate to the system password / shadow
files without PAM. It is possible that this access request signals an intrusion
attempt.
It is recommended that CVS be configured to use PAM, authenticate to a separate
user file, or use another protocol (e.g., SSH) instead of allowing this access.
See the CVS manual for more details on why this access is potentially insecure:
(<a href="http://ximbiot.com/cvs/manual/cvs-1.11.22/cvs_2.html">http://ximbiot.com/cvs/manual/cvs-1.11.22/cvs_2.html</a>).
SELinux prevented the ftp daemon from $ACCESS files stored on a CIFS filesystem.
CIFS (Comment Internet File System) is a network filesystem similar to
SMB (<a href="http://www.microsoft.com/mind/1196/cifs.asp">http://www.microsoft.com/mind/1196/cifs.asp</a>)
The ftp daemon attempted to read one or more files or directories from
a mounted filesystem of this type. As CIFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured the ftp daemon to read files from a CIFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented the ftp daemon from $ACCESS files stored on a CIFS filesytem.
SELinux prevented the ftp daemon from $ACCESS files stored on a NFS filesystem.
NFS (Network Filesystem) is a network filesystem commonly used on Unix / Linux
systems.
The ftp daemon attempted to read one or more files or directories from
a mounted filesystem of this type. As NFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured the ftp daemon to read files from a NFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented the ftp daemon from $ACCESS files stored on a NFS filesytem.
SELinux prevented the gss daemon from reading unprivileged user temporary files.
SELinux prevented the http daemon from $ACCESS files stored on a CIFS filesystem.
CIFS (Common Internet File System) is a network filesystem commonly used on Windows / Linux
systems.
The http daemon attempted to read one or more files or directories from
a mounted filesystem of this type. As CIFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured the http daemon to read files from a CIFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented the http daemon from $ACCESS files stored on a CIFS filesytem.
SELinux prevented the http daemon from $ACCESS files stored on a NFS filesystem.
NFS (Network Filesystem) is a network filesystem commonly used on Unix / Linux
systems.
The http daemon attempted to read one or more files or directories from
a mounted filesystem of this type. As NFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured the http daemon to read files from a NFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented the http daemon from $ACCESS files stored on a NFS filesytem.
SELinux prevented the java plugin ($SOURCE_TYPE) from making the stack
executable. An executable stack should not be required by any
software (see <a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
for more information). However, some versions of the Java plugin are known
to require this access to work properly. You should check for updates
to the software before allowing this access.
SELinux prevented the mplayer plugin ($SOURCE_TYPE) from making the stack
executable. An executable stack should not be required by any
software (see <a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
for more information). However, some versions of the mplayer plugin are known
to require this access to work properly. You should check for updates
to the software before allowing this access.
SELinux prevented the tftp daemon from writing to $TARGET_PATH. Usually
tftpd is setup only to read content and is not allowed to modify it. If
you setup tftpd to modify $TARGET_PATH need to change its label. If you
did not setup tftp to modify $TARGET_PATH, this could signal an intrusion attempt.
Sometimes a library is accidentally marked with the execstack flag,
if you find a library with this flag you can clear it with the
execstack -c LIBRARY_PATH. Then retry your application. If the
app continues to not work, you can turn the flag back on with
execstack -s LIBRARY_PATH. Otherwise, if you trust $SOURCE to
run correctly, you can change the context of the executable to
execmem_exec_t. "chcon -t execmem_exec_t
'$SOURCE_PATH'"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t execmem_exec_t '$SOURCE_PATH'"
The $SOURCE application attempted to change the access protection
of memory (e.g., allocated using malloc). This is a potential
security problem. Firefox is probably not the problem here ,but one of its plugins. You could remove the plugin and the app would no longer require the access. If you figure out which plugin is causing the access request, please open a bug report on the plugin.
The $SOURCE application attempted to change the access protection of memory on
the heap (e.g., allocated using malloc). This is a potential security
problem. Applications should not be doing this. Applications are
sometimes coded incorrectly and request this permission. The
<a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
web page explains how to remove this requirement. If $SOURCE does not work and
you need it to work, you can configure SELinux temporarily to allow
this access until the application is fixed. Please file a bug
report against this package.
The $SOURCE application attempted to load $TARGET_PATH which
requires text relocation. This is a potential security problem.
Most libraries do not need this permission. Libraries are
sometimes coded incorrectly and request this permission. The
<a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
web page explains how to remove this requirement. You can configure
SELinux temporarily to allow $TARGET_PATH to use relocation as a
workaround, until the library is fixed. Please file a
bug report.
The $SOURCE application attempted to load $TARGET_PATH which
requires text relocation. This is a potential security problem.
Most libraries should not need this permission. The
<a href="http://people.redhat.com/drepper/selinux-mem.html">
SELinux Memory Protection Tests</a>
web page explains this check. This tool examined the library and it looks
like it was built correctly. So setroubleshoot can not determine if this
application is compromized or not. This could be a serious issue. Your
system may very well be compromised.
Contact your security administrator and report this issue.
The $SOURCE application attempted to make its stack
executable. This is a potential security problem. This should
never ever be necessary. Stack memory is not executable on most
OSes these days and this will not change. Executable stack memory
is one of the biggest security problems. An execstack error might
in fact be most likely raised by malicious code. Applications are
sometimes coded incorrectly and request this permission. The
<a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
web page explains how to remove this requirement. If $SOURCE does not
work and you need it to work, you can configure SELinux
temporarily to allow this access until the application is fixed. Please
file a bug report.
Use a command like "cp -P" to preserve all permissions except SELinux context.
You can alter the file context by executing "chcon -t bin_t '$TARGET_PATH'" or
"chcon -t lib_t '$TARGET_PATH'" if it is a shared library. If you want to make these changes permanent you must execute the semanage command.
"semanage fcontext -a -t bin_t '$TARGET_PATH'" or
"semanage fcontext -a -t lib_t '$TARGET_PATH'".
If you feel this executable/shared library is in the wrong location please file a bug against the package that includes the file. If you feel that SELinux should know about this file and label it correctly please file a bug against SELinux policy.
You can alter the file context by executing chcon -R -t cvs_data_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t cvs_data_t '$TARGET_PATH'"
You can alter the file context by executing chcon -R -t rsync_data_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t rsync_data_t '$TARGET_PATH'"
You can alter the file context by executing chcon -R -t samba_share_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t samba_share_t '$TARGET_PATH'"
You can alter the file context by executing chcon -t public_content_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_t '$TARGET_PATH'"
You can alter the file context by executing chcon -t swapfile_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t swapfile_t '$TARGET_PATH'"
You can alter the file context by executing chcon -t virt_image_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t virt_image_t '$TARGET_PATH'"
You can alter the file context by executing chcon -t xen_image_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t xen_image_t '$TARGET_PATH'"
You can execute the following command as root to relabel your
computer system: "touch /.autorelabel; reboot"
You can generate a local policy module to allow this
access - see <a href="http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385">FAQ</a>
You can generate a local policy module to allow this
access - see <a href="http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385">FAQ</a>
Please file a bug report.
You can restore the default system context to this file by executing the
restorecon command. restorecon '$TARGET_PATH', if this file is a directory,
you can recursively restore using restorecon -R '$TARGET_PATH'.
Your system may be seriously compromised!
Your system may be seriously compromised! $SOURCE_PATH attempted to mmap low kernel memory.
Your system may be seriously compromised! $SOURCE_PATH tried to load a kernel module.
Your system may be seriously compromised! $SOURCE_PATH tried to modify SELinux enforcement.
Your system may be seriously compromised! $SOURCE_PATH tried to modify kernel configuration.
If you decide to continue to run the program in question you will need
to allow this operation. This can be done on the command line by
executing:
# setsebool -P mmap_low_allowed 1
SELinux denied an operation requested by $SOURCE, a program used
to alter video hardware state. This program is known to use
an unsafe operation on system memory but so are a number of
malware/exploit programs which masquerade as vbetool. This tool is used to
reset video state when a machine resumes from a suspend. If your machine
is not resuming properly your only choice is to allow this
operation and reduce your system security against such malware.
SELinux denied an operation requested by wine-preloader, a program used
to run Windows applications under Linux. This program is known to use
an unsafe operation on system memory but so are a number of
malware/exploit programs which masquerade as wine. If you were
attempting to run a Windows program your only choices are to allow this
operation and reduce your system security against such malware or to
refrain from running Windows applications under Linux. If you were not
attempting to run a Windows application this indicates you are likely
being attacked by some for of malware or program trying to exploit your
system for nefarious purposes.
Please refer to
http://wiki.winehq.org/PreloaderPageZeroProblem
Which outlines the other problems wine encounters due to its unsafe use
of memory and solutions to those problems.
There are two ways to fix this problem, you can install the nsspluginwrapper package, which will cause firefox to run its plugins under a separate process. This process will allow the execmem access. This is the safest choice. You could also turn off the allow_unconfined_nsplugin_transition boolean.
<br>
setsebool -P allow_unconfined_nsplugin_transition=0
</br>
If you want the http daemon to listen on the ftp port, you need to
enable the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
Changing the "$BOOLEAN" and
"$WRITE_BOOLEAN" booleans to true will allow this access:
"setsebool -P $BOOLEAN=1 $WRITE_BOOLEAN=1".
warning: setting the "$WRITE_BOOLEAN" boolean to true will
allow the ftp daemon to write to all public content (files and
directories with type public_content_t) in addition to writing to
files and directories on CIFS filesystems. Changing the "allow_ftpd_use_nfs" and
"$WRITE_BOOLEAN" booleans to true will allow this access:
"setsebool -P allow_ftpd_use_nfs=1 $WRITE_BOOLEAN=1".
warning: setting the "$WRITE_BOOLEAN" boolean to true will
allow the ftp daemon to write to all public content (files and
directories with type public_content_t) in addition to writing to
files and directories on NFS filesystems. <br><br>Boolean Description:<br>%s<br><br> Authorization CRON CVS Choose one of the following to allow access:<br> Domain Name Service FTP File Label File System Java Kernel Mail Media Memory Network Ports Networking One of the following booleans is set incorrectly: <b>%s</b> RSYNC Restore Context SAMBA SELinux is preventing $SOURCE_PATH "$ACCESS" access SELinux prevented the gss daemon from
reading unprivileged user temporary files (e.g., files in /tmp). Allowing this
access is low risk, but if you have not configured the gss daemon to
read these files this access request could signal an intrusion
attempt. TFTP The boolean <b>%s</b> is set incorrectly. Turn off memory protection Web Server Zebra Project-Id-Version: setroubleshoot-plugins.tip.es
Report-Msgid-Bugs-To:
POT-Creation-Date: 2009-10-26 10:05-0400
PO-Revision-Date: 2009-10-16 08:21-0300
Last-Translator: Domingo Becker <domingobecker@gmail.com>
Language-Team: Spanish <fedora-trans-es@redhat.com>
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
X-Poedit-Language: Spanish
X-Poedit-Country: ARGENTINA
X-Generator: KBabel 1.11.4
SELinux negó el acceso requerido por $SOURCE. No se esperaba
que este acceso fuera requerido por $SOURCE, y puede ser
indicio de un intento de ataque. También es posible que la versión
específica o la configuración de la aplicación esté provocando
esta necesidad de acceso adicional.
SELinux negó el acceso requerido por $SOURCE. El booleano actual
no está permitiendo este acceso. Si no configuró a $SOURCE para
que este acceso fuera necesario, puede ser indicio de un intento de
ataque. Si realmente lo que quiere es este acceso, necesita cambiar
los booleanos para permitirlo.
SELinux le ha negado a $SOURCE el acceso "$ACCESS" a $TARGET_PATH.
$TARGET_PATH está mal etiquetada, dado que tiene la etiqueta por defecto del directorio /dev, lo que no debería ocurrir. Todos los dispositivos de Caracteres y/o bloques deben tener una etiqueta.
Puede intentar cambiar la etiqueta del archivo usando
restorecon -v '$TARGET_PATH'.
Si este dispositivo continúa etiquetado como device_t, entonces es un error en la política de SELinux.
Por favor, ingrese un <a href="http://bugzilla.redhat.com/bugzilla/enter_bug.cgi">informe de error</a> contra el paquete selinux-policy.
Si mira en otras etiquetas de dispositivos similares, ls -lZ /dev/SIMILAR, y encuentra un tipo que pueda funcionar para $TARGET_PATH,
puede usar chcon -t TIPO_SIMILAR '$TARGET_PATH', si esto corrige el problema, puede hacer este cambio permanente ejecutando
semanage fcontext -a -t TIPO_SIMILAR '$TARGET_PATH'
Si restorecon cambia el contexto, indica que la aplicación ha creado al dispositivo, sin usar los API de SELinux. Si puede ubicar qué aplicación creó el dispostivo, por favor ingrese un <a href="http://bugzilla.redhat.com/bugzilla/enter_bug.cgi">informe de error</a> contra esa aplicación.
Intente restorecon -v '$TARGET_PATH' o chcon -t TIPO_SIMILAR '$TARGET_PATH'
Cambiando el valor "$BOOLEAN" a verdadero permitirá este acceso:
"setsebool -P $BOOLEAN=1"
Cambiando el valor booleano "$BOOLEAN" a verdadero permitirá este acceso:
"setsebool -P $BOOLEAN=1."
Cambiando el booleano "allow_ftpd_use_nfs" a verdadero permitirá este acceso:
"setsebool -P allow_ftpd_use_nfs=1."
El cambio de contexto a mnt_t permitirá el montaje del sistema de archivo:
"chcon -t mnt_t '$TARGET_PATH'."
También debe cambiar los archivos de contexto de archivo por defecto del sistema para preservarlos aún cuando realice un completo reetiquetado.
"semanage fcontext -a -t mnt_t '$TARGET_PATH'"
Los procesos confinados se pueden configurar para correr con distintos requerimientos de acceso, SELinux provee booleanos para permitir habilitar/deshabilitar esos accesos a medida que sea necesario.
Si se debe permitir a ftp que pueda escribir a este directorio, necesita
cambiar el booleano $BOOLEAN a 1 y cambiar el contexto de archivo
del directorio público a public_content_rw_t. Lea la página man de
rsync_selinux para más información:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
También debe cambiar los archivos de contexto de archivo por defecto en el sistema, a los efectos de preservarlos en caso de un reetiquetado completo. "semanage fcontext -a -t public_content_rw_t <path>"
Si los scripts de httpd deben tener acceso de escritura a directorios públicos, necesita poner en 1 el valor de $BOOLEAN y cambiar el contexto de archivo del directorio público a public_content_rw_t.
Lea la página man de httpd_selinux para más información:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
También debe cambiar los archivos de contexto de archivo por defecto en el sistema, a los efectos de preservarlos en caso de un reetiquetado completo. "semanage fcontext -a -t public_content_rw_t <path>"
Si httpd debe tener permiso para escribir a este directorio, necesita
poner en 1 el booleano $BOOLEAN y cambiar el contexto de archivo
del directorio público a public_content_rw_t. Lea la página man de
httpd_selinux para más información:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
También debe cambiar los archivos de contexto de archivo por defecto en el sistema, a los efectos de preservarlos en caso de un reetiquetado completo. "semanage fcontext -a -t public_content_rw_t <path>"
Si se debe permitir a samba que pueda escribir a este directorio, debe poner
en 1 al booleano $BOOLEAN y cambiar el contexto de archivo del
directorio público a public_content_rw_t. Lea la página man de
samba_selinux para más información:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <dir>"
También debe cambiar los archivos de contexto de archivo por defecto en el sistema, a los efectos de preservarlos en caso de un reetiquetado completo. "semanage fcontext -a -t public_content_rw_t <path>"
Si el demonio ftp debe tener permiso para escribir en este directorio, necesita
poner en 1 el booleano $BOOLEAN y cambiar el contexto de archivo del
directorio público a public_content_rw_t. Lea la página man de ftpd_selinux
para más información:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
También debe cambiar los archivos de contexto de archivo por defecto en el sistema, a los efectos de preservarlos en caso de un reetiquetado completo. "semanage fcontext -a -t public_content_rw_t <path>"
Si permite la administración de módulos de kernel en su equipo,
desactive el booleano $BOOLEAN: "setsebool -P
$BOOLEAN=0".
Si ha creado un directorio en / y quiere que $SOURCE use estos archivos, le debe decir a SELinux mediante el cambio de las etiquetas. Ejecute los siguientes comandos: <br>
<b># semanage fcontext -t TIPO_DE_ARCHIVO '$TARGET_PATH%s' </b>
<br>donde TIPO_DE_ARCHIVO es uno de los siguientes: %s.
<br><b># restorecon -v $TARGET_PATH</b>
<br><br>Si $TARGET_PATH no está en / probablemente necesite reetiquetar el sistema. Ejecute:
<br><b>"touch /.autorelabel; reboot"</b>
Si no quiere que SELinux prevenga el acceso por ftp para escribir
cualquier archivo en cualquier lugar del sistema, necesita poner
en 1 el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si confía en que $TARGET_PATH se ejecutará correctamente, puede
cambiar el contexto de archivo a textrel_shlib_t.
"chcon -t textrel_shlib_t $TARGET_PATH"
También debe cambiar los archivos de contexto de archivos por defecto en el sistema, para preservarlos incluso después de un reetiquetado completo. "semanage fcontext -a -t textrel_shlib_t '$TARGET_PATH'"
Si quiere que $SOURCE acceda a estos archivos, necesita
reetiquetarlos usando restorecon -v '$TARGET_PATH'.
También puede reetiquetar el directorio entero usando
restorecon -R -v '$TARGET_DIR'.
Si desea que $SOURCE continúe, debe cambiar el valor de
$BOOLEAN. Nota: este boleano afectará a todas las aplicaciones
en el sistema.
Si quere permitir a ftp que acceda a los directorios de inicio (home)
de los usuarios debe cambiar el valor de $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Si quiere que httpd permita conexiones a bases de datos, necesita poner en 1
el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si quiere que httpd pueda ejecutar un script de shell en particular,
puede etiquetarlo con chcon -t httpd_sys_script_exec_t SCRIPTFILE. Si quiere
que httpd pueda ejecutar cualquier script de shell necesitará
poner en 1 el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si quiere que httpd pueda ejecutar scripts de cgi, necesitará poner
en 1 el booleano $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Si quiere que httpd se conecte a los puertos httpd/ftp, necesitará encender
el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si quiere que httpd se conecte a puertos de red, necesitará encender el
booleano httpd_can_network_network_connect. Hágalo así:
"setsebool -P $BOOLEAN=1"
Si quiere que httpd pueda mandar correo, necesita poner en 1
el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si quiere que named corra como un servidor secundario y acepte
transferencias de zonas, necesita poner en 1 el booleano $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Si quiere que ppp pueda insertar módulos de kernel, necesita
poner en 1 el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si quiere que samba comparta los directorios de inicio (home)
necesita poner en 1 el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si quiere que samba comparta sistemas de archivo nfs necesita
poner en 1 el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si quiere que spamd comparta los directorios de inicio necesita
poner en 1 el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si quiere que squid se conecte a los puertos de red, necesita poner en 1
el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Si quiere que el demonio http pueda aceder a la terminal, debe poner
en 1 el booleano $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Si quiere que el demonio http comparta los directorios de inicio necesitará
poner a 1 el booleano $BOOLEAN: "setsebool -P
$BOOLEAN=1"
Si quiere permitir al demonio http el uso del lenguaje de scripts,
necesitará cambiar el valor de $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Si quiere que el demonio de autenticación sasl pueda leer el archivo
/etc/shadow cambie $BOOLEAN: "setsebool -P $BOOLEAN=1".
Si quiere permitire al $SOURCE engancharse al puerto $PORT_NUMBER, puede ejecutar <br>
<b># semanage port -a -t TIPO_DE_PUERTO -p %s $PORT_NUMBER</b>
<br>donde TIPO_DE_PUERTO es uno de los siguientes: %s.
<br><br>Si este sistema está corriendo como un cliente NIS, poniendo en 1 el booleano allow_ypbind puede corregir este problema. setsebool -P allow_ypbind=1.
Si quiere permitir a $SOURCE que atienda en este puerto
semanage port -a -t inetd_child_port_t -p PROTOCOLO $PORT_NUMBER
donde PROTOCOLO es tcp o udp.
Si quiere permitir a $SOURCE conectar al puerto $PORT_NUMBER, puede ejecutar <br>
<b>semanage port -a -t TIPO_DE_PUERTO -p %s $PORT_NUMBER</b>
<br>donde TIPO_DE_PUERTO es uno de los siguientes: %s.
Si quiere permitir que $SOURCE ejecute $TARGET_PATH:
chcon -t bin_t '$TARGET_PATH'
Si esto funciona, por favor actualice el el contexto de archivo en el disco con el siguiente comando:
semanage fcontext -a -t bin_t '$TARGET_PATH'
Por favor, especifique la dirección completa del ejecutable, e ingrese un
<a href="http://bugzilla.redhat.com/bugzilla/enter_bug.cgi">informe de error</a> contra esta política de selinux para asegurarse de que en adelante sea el etiquetado por defecto.
Si quere dar permiso a los programas de los usuarios para que corran como Servidores TCP,
puede poner en 1 el booleano user_tcp_server, ejecutando:
"setsebool -P $BOOLEAN=1"
Si quiere que zebra pueda sobreescribir sus archivos de configuración
debe cambiar el valor de $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Si quiere cambiar el contexto de archivo de $TARGET_PATH para que el automontador pueda ejecutarlo, puede ejecutar
chcon -t bin_t.$TARGET_PATH
Si quiere que esto sobreviva a un reetiquetado, necesitará cambiar permanentemente el contexto de archivo. Ejecute semanage fcontext -a -t bin_t $TARGET_PATH.
Si quiere cambiar el contexto de archivo de $TARGET_PATH para que el demonio
httpd pueda accederlos, necesita ejecutarlo usando
semanage fcontext -a -t TIPO_DE_ARCHIVO '$TARGET_PATH'.
<br><br>donde TIPO_DE_ARCHIVO es uno de los siguientes: %s.
Puede mirar en la página man de httpd_selinux para información adicional.
Si quiere cambiar el contexto de archivo de $TARGET_PATH para que el demonio
httpd pueda accederlos, necesita ejecutarlo usando<br>
<b># semanage fcontext -m tftpdir_rw_t '/tftpboot(/.*)?'</b>
<br><b># restorecon -R -v /tftpboot</b></br>
Si quiere exportar un sistema de archivos público usando nfs
necesitará poner el valor de $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Si quiere exportar sistema de archivos usando nfs, necesita poner
en 1 el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1".
Si quiere exportar el sistema de archivos usando samba, necesita poner
en 1 el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1".
Si quiere exportar sistema de archivos para escritura
usando nfs necesita poner en 1 el booleano $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Si quiere exportar sistema de archivos para escritura
usando samba necesita poner en 1 el booleano $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Si quiere modificar la forma en que SELinux se ejecuta en su máquina
necesita poner el equipo en modo monousuario sin obediencia (enforcing).
Ponga en 0 el booleano secure_mode_policyload:
"setsebool -P secure_mode_policyload=0".
SELinux negó a $SOURCE el acceso a $TARGET_PATH.
Si este es un archivo swap, se debe cambiar a la etiqueta de
contexto de archivo swapfile_t. Si no intenta usar $TARGET_PATH
como un archivo swap, probablemente sea un error, sin embargo,
también puede estar señalando un intento de ataque.
SELinux negó el acceso requerido por $SOURCE. $TARGET_PATH puede
estar mal etiquetado. El tipo SELinux predeterminado de $TARGET_PATH
es <B>$MATCHTYPE</B>, mientras que su tipo actual es <B>$TARGET_TYPE</B>.
El cambio de este archivo a su tipo predeterminado puede corregir este problema.
Los contextos de archivo se pueden asignar a un archivo de las siguientes maneras. <ul>
<li>Los archivos creados en un directorio reciben por defecto el contexto de archivo del directorio padre.
<li>La política de SELinux puede cambiar esta etiqueta heredada en forma predeterminada desde el directorio padre especificando que un proceso que corre en el contexto A cree un archivo en un directorio etiquetado como B creará archivos etiquetados como C. Un ejemplo de esto sería un
cliente dhcp corriendo con el tipo dhclient_t y crea un archivo en el
directorio /etc. Este recibiría normalmente el tipo etc_t debido a la
herencia, pero en su lugar el archivo es etiquetado con el tipo
net_conf_t porque la política SELinux lo indica así.
<li> Los usuarios pueden cambiar el contexto de un archivo usando herramientas como chcon o restorecon.
</ul>
Este archivo puede haber sido mal etiquetado por un error del usuario, o bien por una aplicación confinada que estuvo corriendo en el dominio incorrecto.
Sin embargo, esto puede ser un error de SELinux, en el sentido en que el archivo no debe ser etiquetado con este tipo. Si piensa que es un error, por favor ingrese un <a href="http://bugzilla.redhat.com/bugzilla/enter_bug.cgi">informe de error</a>
contra este paquete.
SELinux le ha negado el acceso pedido por el comando $SOURCE. Parece que éste es un descriptor filtrado o la salida de $SOURCE fue redireccionada a un archivo al cual no tiene acceso. Los filtros usualmente son ignorados dado que SELinux simplemente los cierra e informan el error. La aplicación no usan el descriptor, por lo que funcionará apropiadamente. Si esta es una redirección, no obtendrá la salida en $TARGET_PATH. Debe generar un informe en bugzilla sobre selinux-policy, y será mandado al paquete apropiado. Puede ignorar sin problemas este avc.
SELinux negó el acceso a $TARGET_PATH pedido por $SOURCE.
$TARGET_PATH tiene un contexto usado para ser compartido por
distintos programas. Si quiere compartir $TARGET_PATH también
desde $SOURCE, necesita cambiar su contexto de archivo
a public_content_t. Si no pretende hacer este acceso, entonces
puede ser señal de un ataque.
SELinux negó a cvs el acceso a $TARGET_PATH.
Si éste es un repositorio CVS, tiene que tener la etiqueta de
contexto de archivo cvs_data_t. Si su intención no es usar
$TARGET_PATH como un repositorio cvs, ésto puede ser indicio
de un ataque o bien un error.
SELinux negó el $ACCESO a prelink sobre $TARGET_PATH.
Al programa prelink solamente se le permite manipular archivos que están identificados
como ejecutables o bibliotecas compartidas por SELinux. Las bibliotecas que terminan en
los directorios lib obtienen la etiqueta de biblioteca compartida por defecto. De la
misma forma, los ejecutables que vayan a parar en bin o sbin son etiquetados como
ejecutables por SELinux. Sin embargo, si estos archivos se instalan en otros directorios
pueden llegar a tener una etiqueta incorrecta. Si prelink está intentando manipular un
archivo que no es un binario o biblioteca compartida, esto puede ser indicio de un ataque.
SELinux le ha negado a qemu el acceso a $TARGET_PATH.
Si éste es una imágen XEN tiene que tener el contexto de archivo
virt_image_t. El sistema se configuró para etiquetar los archivos de
imagen en /var/lib/libviret/images correctamente. Se recomienda que copie su archivo
de imagen a este directorio, puede reetiquetar $TARGET_PATH para que sea un
archivo/directorio virt_image_t usando chcon. Si hace esto, también debe ejecutar
semanage fcontext -a -t virt_image_t '$TARGET_PATH' para agregar este nuevo camino
a los valores predeterminados del sistema. Si no pretende usar $TARGET_PATH como una
imágen qemu, puede ser por un error o bien ser la señal de un intento de ataque.
SELinux le ha negado a qemu el acceso a $TARGET_PATH.
Si ésta es una imágen de virtualización, tiene que tener el contexto de archivo
de virtualización (virt_image_t). Puede reetiquetar $TARGET_PATH para que sea virt_image_t usando chcon. Necesitará ejecutar también semanage fcontext -a -t virt_image_t '$TARGET_PATH' para agregar esta dirección a los predeterminados del sistema. Si no pretende usar $TARGET_PATH como una imágen qemu, esto puede ser señal de un ataque.
SELinux negó el acceso a $TARGET_PATH a rsync.
Si éste es un repositorio RSYNC debe tener la etiqueta de conexto
de archivo de rsync_data_t. Si no pretende usar $TARGET_PATH como
un repositorio rsync, puede ser un error o una señal de un intento
de ataque.
SELinux le ha negado a xen el acceso a $TARGET_PATH.
Si éste es una imágen XEN tiene que tener el contexto de archivo
xen_image_t. El sistema se configuró para etiquetar los archivos de
imagen en /var/lib/xen/image correctamente. Se recomienda que copie su archivo
de imagen a este directorio, puede reetiquetar $TARGET_PATH para que sea un
archivo/directorio xen_image_t usando chcon. Si hace esto, también debe ejecutar
semanage fcontext -a -t xen_image_t $TARGET_PATH para agregar esta nueva dirección
a los valores por defecto del sistema. Si no pretende usar $TARGET_PATH como una
imágen xen, puede ser por un error o bien ser la señal de un intento de ataque.
SELinux le ha negado $SOURCE el acceso a archivos
potencialmente mal etiquetados ($TARGET_PATH). Esto significa
que SELinux no permitirá que $SOURCE_PATH use estos archivos. Es común
que los usuarios editen archivos en sus directorios de inicio o tmp
y luego lo muevan (mv) a directorios del sistema. El problema
es que éstos terminan con un contexto de archivo al cual no se
permite que accedan las aplicaciones confinadas.
SELinux ha negado a $SOURCE la conexión al puerto de red $PORT_NUMBER que no tiene un tipo SELinux asociado a él.
Si $SOURCE debería poder conectarse al puerto $PORT_NUMBER, use el comando <i>semanage</i> para asignar $PORT_NUMBER a un tipo de puerto al que $SOURCE_TYPE se pueda conectar (%s).
<br><br>Si $SOURCE no debería poder
conectarse con el puerto $PORT_NUMBER, puede ser señal de un intento de intrusión.
SELinux ha negado a los utilitarios de módulos de kernel la
modificación de módulos de kernel. Esta máquina ha sido fortificada
para no permitir la modificación del kernel, excepto en modo de
usuario único. Si no intentó administrar algún módulo de kernel,
probablemente sea señal de un ataque.
SELinux le ha negado a $SOURCE el acceso a archivos
potencialmente mal etiquetados $TARGET_PATH. Esto significa
que SELinux no permitirá que httpd use estos archivos. Si httpd debe tener permitido acceder a estos archivo puede cambiar el contexto de archivo a uno de los siguientes tipos, %s.
Muchas aplicaciones de terceros instalan archivos html en directorios que la política de SELinux
no puede predecir. Estos directorios deben ser etiquetados con el contexto de
archivo que le permita a httpd accederlos.
SELinux ha negado a $SOURCE la atención de conexiones en el puerto de red $PORT_NUMBER que no tiene un tipo SELinux asociado a él.
Si se suponía que $SOURCE podía atender conexiones en este puerto, puede usar el comando semanage para agregar este puerto al tipo inetd_child_port_t.
Si piensa que éste debería ser el predeterminado por favor, <a href="http://bugzilla.redhat.com/bugzilla/enter_bug.cgi">informe un error</a> contra el paquete selinux-policy.
Si por el contrario, no se suponía que $SOURCE podía atender conexiones en este puerto, puede ser señal de un intento de ataque.
SELinux ha negado a $SOURCE la atención de conexiones en el puerto
de red $PORT_NUMBER que no tiene un tipo SELinux asociado a él.
Si $SOURCE debería poder escuchar en $PORT_NUMBER, use el comando
<i>semanage</i> para asignar $PORT_NUMBER a un tipo de puerto al
que $SOURCE_TYPE se pueda enganchar (%s).
<br><br>Si $SOURCE no debería poder engancharse
al puerto $PORT_NUMBER, esto puede ser señal de un intento de intrusión.
SELinux ha negado a $SOURCE la ejecución de $TARGET_PATH.
Si $SOURCE debía poder ejecutar $TARGET_PATH, entonces puede ser un problema de etiquetado. La mayoría de los dominios confinados pueden ejecutar archivos con la etiqueta bin_t. Por lo que puede cambiar la etiqueta de este archivo a bin_t y reintentar la aplicación. Si este $SOURCE no debía ejecutar $TARGET_PATH, puede ser indicio de un intento de ataque.
SELinux ha negado a $SOURCE engancharse al puerto de red $PORT_NUMBER que no tiene un tipo SELinux asociado a él.
$SOURCE no tiene una política SELinux definida cuando es ejecutada por un usuario, por lo que
se ejecuta en el dominio de los usuarios. SELinux está actualmente configurado para
negar la ejecución de servidores TCP en el dominio del usuario. Si no esperaba que programas
como $SOURCE se enganchen a un puerto de red, puede ser un indicio de un intento de ataque.
Si este sistema está corriendo como un cliente NIS, poniendo en 1 el booleano allow_ypbind
puede corregir el problema.
setsebool -P allow_ypbind=1
SELinux le ha negado a $SOURCE la posibilidad de realizar mapeo sobre un
área inferior del espacio de la dirección del kernel. La posibilidad de realizar
esta acción está configurada por /proc/sys/kernel/mmap_min_addr.
Prevenir estos mapeos ayuda a protegerse contra errores de tipo
"exploiting null deref" en el kernel. Todas las aplicaciones que necesiten
este acceso, deberían de haber tenido alguna política definida para él.
Si una aplicación vulnerada intenta modificar el kernel, este AVC será
generado. Este es un problema serio. Su sistema puede estar comprometido.
SELinux le ha negado a $SOURCE_PATH la ejecución de archivos
potencialmente mal etiquetados $TARGET_PATH. El automontador se puede
configurar para ejecutar archivos de configuración, si $TARGET_PATH es
un archivo de configuración ejecutable de automount, necesita tener la
etiqueta bin_t.
Si el automontador está intentando ejecutar algo que no se suponía que
debía ejecutar, esto puede estar indicando un ataque.
SELinux le ha negado al demonio del Protocolo de Punto a Punto
la inserción de módulos de kernel. Si pppd no fue configurado
para que pueda insertar módulos de kernel, esto probablemente
sea un ataque.
SELinux ha negado el acceso a los directorios de inicio de los usuarios
al demonio ftp ($TARGET_PATH). Alguien está intentando ingresar vía
el demonio ftp a una cuenta de usuario. Si sólo configuró su servidor ftp
para permitir ftp anónimo, esto puede indicar un ataque.
SELinux ha negado el acceso a los directorios de inicio de los usuarios
al demonio ftp ($TARGET_PATH). Alguien está intentando ingresar vía
el demonio ftp a una cuenta de usuario. Si sólo configuró su servidor ftp
para permitir ftp anónimo, esto puede indicar un ataque.
La política de SELinux negó al demonio http el acceso a directorios de
inicio (home) de los usuarios. Alguien está intentando acceder a sus
directorios de inicio vía el demonio de http. Si no configuró a httpd para
que comparta los directorios de inicio, probablemente sea un ataque.
SELinux ha negado al demonio http la conexión a $PORT_NUMBER. Un
script de http está intentando hacer una conexión de red a un puerto
remoto. Si no configuró httpd para que se conecte a la red, puede ser
que lo estén atacando por ahí.
SELinux ha negado la conexión a una base de datos al demonio http.
Un script de http está intentando conectar a un puerto de base de datos.
Si no configuró httpd para permitir conexiones a bases de datos, esto
puede ser señal de un intento de ataque.
SELinux ha negado la conexión a si mismo o a puertos relay
al demonio http. Un script de http está intentando hacer una
conexión de red a un puerto http/ftp. Si no configuró a httpd
para conexiones de red, esto puede ser señal de un ataque.
SELinux ha negado la ejecución de un script de cgi al demonio http.
httpd se puede configurar en un modo en el que los scripts de cgi
no se permitan ejecutar. Si el servidor httpd fue configurado para
no ejecutar scripts de cgi, esto puede ser señal de un ataque.
SELinux ha egado la ejecución de scripts de shell al
demonio http. Normalmente, http requiere que todos los
scripts (CGIs) sean etiquetados como httpd_sys_script_exec_t.
Si httpd no debe ejecutar este script de shell, puede ser un ataque.
SELinux ha negado al demonio http que escuche conexiones
entrantes al puerto ftp. Esto significa que SELinux no permitirá
a http que funcione como un servidor ftp. Si no configuró a http
para que funcione como un servidor de ftp, esto puede indicar
un ataque.
SELinux ha negado al demonio http el envío de email. Un script
de http está intentando conectar a un puerto de correo o ejecutar
sendmail. Si no configuró al httpd para que use sendmail, esto
puede ser señal de un intento de ataque.
SELinux negó al demonio http el uso de scripts preincluídos.
Esto significa que SELinux no permitirá a http que use módulos
cargables para ejecutar los scripts internamente. Si no configuró
a http para usar scripts preincluídos, puede ser una señal de ataque.
SELinux le ha negado a las herramientas de administración la modificación
de la manera en que la política de SELinux se ejecuta. Esta máquina está
endurecida, por o que si usted no corrió ninguna herramienta de SELinux,
probablemente sea un ataque.
SELinux le ha negado al demonio named la escritura de archivos
de zona. Comúnmente, named no requiere escribir estos archivos.
Solo los servidores secundarios deben requerir la escritura a estos
directorios. Si esta máquina no es un servidor secundario, esto
puede ser indicio de un ataque.
SELinux le ha negado al demonio samba el acceso a sistemas
de archivo nfs. Alguien está intentando acceder a un sistema de
archivo nfs vía su demonio samba. Si no configuró samba para
compartir sistemas de archivo nfs, probablemente sea un ataque.
SELinux le ha negado al demonio samba el acceso a directorios de
inicio de los usuarios. Alguien está intentando acceder a sus directorios
de inicio vía su demonio samba. Si sólo configuró samba para compartir
directorios que no están bajo /home, probablemente sea indicio de un
ataque. Para más información acerca de la integración de SELinux con
samba, vea la página man de samba_selinux. (man samba_selinux)
SELinux está negando al servidor de autenticación sasl la lectura del
archivo /etc/shadow. Si el demonio de autenticación sasl (saslauthd)
no fue configurado para leer /etc/shadow, esto puede ser señal de un
posible ataque.
SELinux le ha negado al demonio spamd el acceso a directorios de
inicio de los usuarios. Alguien está inentando acceder a sus
directorios de inicio a través de su demonio spamd. Si sólo
configuró a spamd para compartir directorios que no son de
inicio, esto probablemente esté indicando un ataque.
SELinux le ha negado al demonio squid la conexión al $PORT_NUMBER.
Por defecto, la política para squid es configurar al mismo para negar
estas conexiones. Si no configuró a squid para conexiones de red,
esto podría indicar un ataque.
SELinux ha negado al demonio zebra la escritura de sus
propios archivos de configuración. Lo más común es que
zebra no necesite escribir sus archivos de configuración.
Si zebra no fue configurado para escribir sus archivos de
configuración, esto puede ser señal de un ataque.
SELinux le ha negado a $SOURCE acceso para cargar un módulo del kernel.
Todos los programas confinados que necesiten cargar módulos del kernel
deberían tener políticas definidas que les permitan hacerlo. Si una aplicación
vulnerada intenta modificar el kernel, este AVC será generado. Este es un
problema serio. Su equipo puede estar comprometido.
SELinux le ha negado a $SOURCE la posibilidad de modificar $TARGET.
Esta negación muestra que $SOURCE intentaba modificar la política de
configuración de selinux. Todas las aplicaciones que necesiten este
acceso, deberían haber tenido algún tipo de política definida. Si una
aplicación vulnerada intenta modificar la política de selinux, este AVC será
generado. Este es un problema serio. Su sistema puede estar comprometido.
SELinux le ha negado a $SOURCE la posibilidad de modificar el $TARGET. Esta
negación indica que $SOURCE estaba intentando modificar la forma en que se
ejecuta el kernel, o que en realidad estaba intentando insertar un código en él
Todas las aplicaciones que necesiten este acceso deberían de haber tenido
alguna política definida para él. Si alguna aplicación comprometida trata de
modificar el kernel, se habrá generado este AVC. Este es un problema serio.
Su sistema puede estar comprometido.
SELinux le ha negado a $SOURCE la escritura en un archivo bajo /selinux.
Los archivos en /selinux controlan la forma en que se configura SELinux.
Todos los programas que necesiten escribir en /selinux ya deberían tener
alguna política escrita para las mismas. Si una aplicación comprometida intenta
desactivar SElinux, este AVC será generado. Este es un problema serio.
Su sistema puede estar comprometido.
SELinux negó a vbetool hacer una operación insegura con la memoria.
SELinux negó a wine hacer uso inseguro de la memoria.
SELinux está negando al demonio nfs (nfsd) la lectura de archivos
en el sistema local. Si no exportó ningún sistema de archivos, esto
puede ser señal de ataques.
SELinux le ha negado al demonio nfs (nfsd) la escritura de
archivos en el sistema local. Si no ha exportado ningún sistema
de archivos (rw), esto puede estar señalando un ataque.
SELinux le ha negado al demonio nfs (nfsd) la escritura a directorios
marcados como públicos. Usualmente estos directorios son compartidos
entre múltiples demonios de red, como nfs, apache, ftp, etc. Si no ha
exportado ningún sistema de archivo público para escritura, esto
puede estar indicando un ataque.
SELinux le ha negado al demonio samba (smbd) la lectura de archivos
en el sistema local. Si no ha exportado estos sistemas de archivos,
puede ser señal de ataques.
SELinux le ha negado al demonio samba (smbd) la escritura de
archivos en el sistema local. Si no ha exportado ningún sistema
de archivos (rw), esto puede estar señalando un ataque.
SELinux le ha negado al demonio http la comunicación con la terminal.
La mayoría de los demonios de servicios nunca deberían necesitar
comunicarse con la terminal. httpd puede configurarse para pedir
información durante el proceso de arranque lo que podría requerir
este acceso. Si no configuró httpd para requerir acceso a la terminal,
esto puede estar indicando un ataque.
SELinux está negando a $SOURCE el acceso "$ACCESS" a archivos con la etiqueta predeterminada default_t.
La etiqueta default_t es la predeterminada para directorios nuevos creados bajo /. Las aplicaciones confinadas no tienen acceso a archivos default_t. Esto probablemente indique un problema de etiquetado, especialmente si los archivos mencionados
no son directorios de alto nivel. Ningún archivo/directorio bajo los directorios estándares del sistema, /usr, /var, /dev, /tmp, ..., no deben ser etiquetados con default_t. Si crea un directorio nuevo en / tendrá esta etiqueta.
SELinux está previniendo acerca de la intención de $SOURCE de crear un archivo con el
contexto $SOURCE_TYPE en un sistema de archivo.
Normalmente esto pasa cuando se le pide al comando cp que mantenga el contexto de un archivo
cuando copia de un sistema de archivo a otro. Por ejemplo "cp -a". No todos los contextos
de archivo se deben mantener entre sistemas de archivo. Por ejemplo, un tipo de archivo sólo
lectura como el iso9660_t no debe ser puesto en un sistema l/e. "cp -P" puede ser una mejor
solución, dado que adoptará el contexto de archivo por defecto en el destino.
SELinux está negando a $SOURCE_PATH el acceso "$ACCESS" sobre $TARGET_PATH.
SELinux está negando a $SOURCE_PATH "$ACCESS" acceder a $TARGET_PATH.
SELinux está negando a $SOURCE_PATH "$ACCESS" acceso al dispositivo a $TARGET_PATH.
SELinux le está negando a $SOURCE_PATH el acceso "$ACCESS" a $TARGET_PATH.
SELinux está negando a $SOURCE_PATH el acceso a un descriptor de archivo $TARGET_PATH filtrado.
SELinux está negando a $SOURCE_PATH engancharse al puerto $PORT_NUMBER.
SELinux está previniendo acerca de la intención de $SOURCE_PATH de cambiar la protección de acceso de la memoria dinámica.
SELinux está negando a $SOURCE_PATH la conexión con el puerto $PORT_NUMBER.
SELinux está previniendo acerca de la intención de $SOURCE_PATH de crear un archivo con el contexto $SOURCE_TYPE en un sistema de archivo.
SELinux le está negando a $SOURCE_PATH ejecutar $TARGET_PATH.
SELinux está previniendo acerca de la intención de $SOURCE_PATH de cargar de $TARGET_PATH que requiere reubicación de texto.
SELinux está previniendo acerca de la intención de $SOURCE_PATHde hacer la pila del programa ejecutable.
SELinux está negando a $SOURCE_PATHel uso de archivos que estén potencialmente mal etiquetados ($TARGET_PATH).
SELinux está negando a Samba ($SOURCE_PATH) el acceso "$ACCESS" a $TARGET_PATH.
SELinux está negando el acceso a archivos con etiqueta file_t.
SELinux está negando cvs ($SOURCE_PATH) "$ACCESS" el acceso a $TARGET_PATH.
SELinux está previniendo firefox hacer esta memoria escribible y ejecutable.
SELinux está negando a $SOURCE el uso de archivos
que estén potencialmente mal etiquetados $TARGET_PATH.
SELinux está previniendo acerca de la intención de $SOURCE_PATH de usar archivos
que estén potencialmente mal etiquetados ($TARGET_PATH).
SELinux está negando la lectura de directorios de inicio de los usuarios al demonio ftp
($TARGET_PATH).
SELinux está previniendo al demonio ftp de escribir archivos fuera de
los directorios bajo home ($TARGET_PATH).
SELinux está negando al demonio http que actúe como servidor de ftp.
SELinux está negando al demonio http que se comunique con la terminal.
SELinux está negando al demonio http que se conecte a una base de datos.
SELinux está negando al demonio http que se conecte a si mismo o a los puertos de relay
SELinux está negando al demonio http la conexión al puerto de red $PORT_NUMBER
SELinux está negando al demonio http la ejecución de un script de shell
SELinux está previniendo acerca de la intención del demonio http de ejecutar scripts de cgi.
SELinux está negando al demonio http que lea los directorios de inicio de los usuarios.
SELinux está negando al demonio http el envío de email.
SELinux está negando al demonio http usar el lenguaje de scripts.
SELinux está negando la carga de módulos del kernel.
SELinux está previniendo la modificación de la política en ejecución.
SELinux está negando al demonio named la escritura en el directorio de zonas
SELinux hizo que el demonio nfs niege a sus clientes la escritura en directorios públicos.
SELinux previno acerca de la intención del demonio nfs de permitir a clientes
remotos la escritura de archivos locales.
SELinux está previniendo acerca de la intención del demonio nfs de servir archivos de solo lectura a clientes remotos.
SELinux está negando al demonio ppp insertar módulos de kernel.
SELinux está previniendo acerca de la intención del demonio samba de permitir a clientes
remotos la escritura de archivos locales.
SELinux le está negando al demonio samba la lectura de sistemas de archivos nfs.
SELinux le está previniendo acerca de la intención del demonio samba de leer los directorios de inicio de los usuarios.
SELinux está previniendo acerca de la intención del demonio samba de servir archivos de sólo lectura a clientes remotos.
SELinux está negando al servidor de autenticación sasl la lectura del archivo /etc/shadow.
SELinux está previniendo acerca de la intención del demonio spamd de leer de los directorios de inicio de los usuarios.
SELinux está previniendo acerca de la intención del demonio squid de conectarse al puerto de red $PORT_NUMBER
SELinux está negando al demonio tftp modificar $TARGET_PATH.
SELinux está previniendo acerca de la intención de los usuarios de correr
servidores TCP en el dominio de los usuarios.
SELinux negó al demonio zebra la escritura de sus archivos de configuración
SELinux está negando a xen ($SOURCE_PATHcp
Se han negado los chequeos de permiso en archivos con etiqueta
file_t a SELinux. file_t es el contexto que le da el kernel de SELinux
a archivos que no tienen una etiqueta. Esto indica un problema
serio de etiquetado. No se debe etiquetar a ningún archivo con la
etiqueta file_t. Si ha agregado un nuevo disco al sistema, puede
reetiquetarlo usando el comando restorecon. Caso contrario,
deberá reetiquetar todo el sistema de archivo.
La política de SELinux está previniendo acerca de la intención de un script de http la escritura a un directorio público.
La política de SELinux está impidiendo a un script de http la escritura a un
directorio público. Si no se configuró a http para que escriba a directorios
públicos, esto puede indicar un posible ataque.
La política de SELinux está negando al demonio de ftp la escritura
en un directorio público.
La política de SELinux está negando al demonio de ftp la escritura en
directorio público. Si ftpd no está configurado para escritura anónima,
esto puede estar indicando un intento de ataque.
La política de SELinux niega al demonio http la escritura a un
directorio público.
La política de SELinux está impidiendo al demonio http la escritura a un
directorio público. Si http no fue configurado para escribir en directorios
públicos, esto puede ser una señal de un ataque.
La política de SELinux niega al demonio rsync la escritura a un directorio público.
La política de SELinux niega al demonio rsync la escritura a un directorio público.
Si rsync no fue configurado para permitir escrituras anónimas, esto puede
indicar un posible ataque.
La política de SELinux está negando al demonio samba la escritura a
un directorio público.
La política de SELinux está negando al demonio samba la escritura a
un directorio público. Si samba no fue configurado para permitir escrituras
anónimas, esto puede indicar un posible ataque.
SELinux previno acerca de la intención de $SOURCE de $ACCESS archivos almacenados en el directorio de spool de correo.
$SOURCE intentó escribir en uno o más archivos o directorios, los archivos de postfix comúnes no necesitan este acceso. Sin embargo, se puede configurar para permitir esto.
Si no configuró a $SOURCE para que escriba en el directorio spool de correo, este intento de acceso puede estar indicando un intento de ataque.
SELinux previno acerca de la intención de $SOURCE de $ACCESS de archivos
almacenados en el directorio spool de correo.
SELinux previno acerca de la intención de $SOURCE de $ACCESS archivos
almacenados en un sistema de archivos NFS. NFS (Sistema de Archivos de Red)
es un sistema de archivo usado comúnmente en sistemas Unix / Linux.
$SOURCE_PATH intentó leer uno o más archivos o directorios desde un sistema
de archivo de este tipo montado. Como los sistemas de archivo NFS no dan
soporte fino al etiquetado de SELinux, todos los archivos y directorios en el
sistema de archivo tendrán el mismo contexto de seguridad.
Si no ha configurado a $SOURCE para leer archivos de un sistema de
archivos NFS, este acceso puede ser señal de un ataque.
SELinux previno acerca de la intención de $SOURCE de $ACCESS archivos
almacenados en un sistema de archivos NFS.
SELinux previno acerca de la intención de $SOURCE de $ACCESS archivos
almacenados en un sistema de archivo SMB/CIFS de Windows (Samba).
CIFS es un sistema de archivo de red comúnmente usado en sistemas Windows.
$SOURCE_PATH intentó leer uno o más archivos o directorios de un sistema de
archivos de este tipo montado. Como los sistemas de archivo CIFS no dan
soporte fino al etiquetado de SELinux, todos los archivos y directorios en el
sistema de archivo tendrán el mismo contexto de seguridad.
Si no ha configurado a $SOURCE para leer archivos de un sistema de
archivos CIFS, este acceso puede ser señal de un ataque.
SELinux previno acerca de la intención de $SOURCE de $ACCESS de archivos
almacenados en sistema de archivos Windows SMB/CIFS (Samba).
SELinux negó a $SOURCE el acceso al archivo spool de cron.
SELinux negó a $SOURCE el acceso al archivo spool de cron.
Este acceso es normalmente necesario cuando se usa fcron como
demonio cron (<a href="http://fcron.free.fr/">http://fcron.free.fr</a>).
Si está usando fcron debe permitir este acceso. Caso contrario, esto
puede estar indicando un ataque.
SELinux previno acerca de la intención de $SOURCE de ejecutarse correctamente como un demonio.
SELinux nego $SOURCE que se ejecute correctamente como un
demonio. Los servidores FTP se pueden configurar para correr ya sea como
un demonio solitario o a través de xinetd. Cada configuración requiere un
acceso levemente diferente. Si ha configurado a su servidor ftp para correr
como un demonio debe permitir este acceso. Sino, esto puede ser señal de
un ataque.
SELinux previno acerca de la intención de $SOURCE de montar un
sistema de archivo en el archivo o directorio "$TARGET_PATH"
del tipo "$TARGET_TYPE". Por defecto, SELinux limita el montaje de
sistemas de archivo sólo a algunos archivos o directorios (aquellos con los
tipo con atributo de punto de montaje). El tipo "$TARGET_TYPE" no tiene
este atributo. Puede cambiar la etiqueta del archivo o directorio.
SELinux previno acerca de la intención de $SOURCE de montar un sistema de archivo
en el archivo o dorectorio "$TARGET_PATH" del tipo "$TARGET_TYPE".
Por defecto SELinux limita el montaje de sistemas de archivos a solamente
algunos directorios o archivos (aquellos con tipos que tienen el atributo de
punto de montaje). El tipo "$TARGET_TYPE" no tiene este atributo. Puede
reetiquetar el archivo o dorectorio, o poner el booleano "$BOOLEAN" a 1
para permitir el montaje en cualquier archivo o directorio.
SELinux previno acerca de la intención de $SOURCE de montar en el archivo o directorio
"$TARGET_PATH" (tipo "$TARGET_TYPE").
SELinux evitó que $SOURCE monte algo en el archivo o directorio
"$TARGET_PATH".
SELinux previno acerca de la intención de $SOURCE de leerdesde el dispositivo urandom.
SELinux negó a $SOURCE la lectura desde el dispositivo urandom.
Este acceso debe ser habilitado para aplicaciones individuales, pero hay
situaciones donde todas las aplicaciones requieren el acceso (por ejemplo,
cuando se usa la protección de ruptura de pila ProPolice/SSP). Permitir
este acceso puede habilitar a aplicaciones maliciosas drenar la pileta de
entropía del kernel. Esto puede comprometer la habilidad de algún software
que sea dependiente de números aleatorios de alta calidad (por ejemplo,
ssh-keygen) para que funcionen apropiadamente. El riesgo de este tipo
de ataque es relativamente bajo.
SELinux previno acerca de la intención de $SOURCE de usar NIS (yp) para la
autenticación. Si ha configurado su sistema para usar NIS, este
acceso es de esperar, pero no está actualmente permitido por
SELinux. Sino, esto puede ser señal de un ataque.
SELinux previno acerca de la intención de $SOURCE de usar NIS (yp).
SELinux previno acerca de la intención de $SOURCE el uso de kerberos para la
autenticación. Si ha configurado el sistema para que use kerberos
este acceso es esperado pero no actualmente permitido por SELinux.
Caso contrario, este acceso puede indicar un ataque.
SELinux negó a $SOURCE el uso de kerberos.
SELinux previno acerca de la intención de $SOURCE de escribir en $TARGET_PATH.
SELinux evito que $SOURCE escriba en $TARGET_PATH. Si $TARGET_PATH es un archivo principal, a lo mejor es
lo que Ud. quiere. Si $TARGET_PATH no es un archivo principal, esto
puede ser señal de un intento de ataque.
SELinux negó al plugin de java ($SOURCE_TYPE) de marcar como ejecutable a la pila.
SELinux previno acerca de la intenciónd el plugin de mplayer ($SOURCE_TYPE) de
hacer ejecutable a la pila.
SELinux ha prevenido acerca de la intención de httpd de
$ACCESS los archivos http.
SELinux le negó a aplicación de CVS de leer el archivo shadow de contraseñas.
SELinux evitó que la aplicación CVS lea el archivo de claves shadow.
La aplicación CVS requiere este acceso cuando está configurado para conexión
directa (es decir, pserver) y para autenticar con los archivos password / shadow
del sistema sin PAM. Es posible que este acceso esté señalando un intento de
ataque.
Se recomienda que CVS sea configurado para que use PAM, autentique a un
archivo de usuario separado o use otro protocolo (por ejemplo, ssh) en vez de
permitir este acceso. Vea el manual de CVS para más detalles acerca de por qué
este acceso es potencialmente inseguro ( (<a href="http://ximbiot.com/cvs/manual/cvs-1.11.22/cvs_2.html">http://ximbiot.com/cvs/manual/cvs-1.11.22/cvs_2.html</a>).
SELinux previno acerca de la intención del demonio ftp de $ACCESS archivos
almacenados en un sistema de archivos CIFS. CIFS (Sistema de Archivos de
Comentarios de Internet) es un sistema de archivo de red similar a SMB
(<a href="http://www.microsoft.com/mind/1196/cifs.asp">http://www.microsoft.com/mind/1196/cifs.asp</a>)
El demonio ftp intentó leer uno o más archivos o directorios de un sistema de
archivos montando de ese tipo. Como los sistemas de archivos CIFS no dan
soporte adecuado al etiquetado SELinux, todos los archivos y directorios en
el sistema de archivo tendrán el mismo contexto de seguridad.
Si no configuró al demonio ftp para leer archivos de un sistema de archivos
CIFS, este intento de acceso puede ser señal de un ataque.
SELinux negó al demonio ftp $ACCESS archivos almacenados en un
sistema de archivo CIFS.
SELinux previno acerca de la intención del demonio ftp de $ACCESS archivos
almacenados en un sistema de archivos NFS. NFS (Sistema de Archivo de Red)
es un sistema de archivo de red comúnmente usado en sistemas Unix/Linux
El demonio ftp intentó leer uno o mas archivos o directorios desde un sistema
de archivo de este tipo montando. Como los sistemas de archivos NFS no dan
soporte a un etiquetado de archivo más fino, todos los archivos y directorios
en el sistema de archivo tendrán el mismo contexto de seguridad.
Si no ha configurado al demonio ftp para leer archivos en un sistema de archivo
NFS, este acceso puede estar indicando un intento de ataque.
SELinux negó al demonio ftp el/la $ACCESS a archivos almacenados en un sistema de archivo NFS.
SELinux negó al demonio gss la lectura de archivos de usuario temporales sin privilegios.
SELinux negó al demonio http el acceso $ACCESS a archivos
almacenados en un sistema de archivos CIFS.
CIFS (Sistema de Archivo de Red de Windows) es un sistema de archivo en red comúnmente usado en sistemas Windows / Linux.
El demonio http intentó leer uno o más archivos o directorios desde un
sistema de archivo montado de este tipo. Como los sistemas de archivo
CIFS no dan soporte al etiquetado fino de SELinux, todos los archivos y
directorios en el sistema de archivo tendrán el mismo contexto de seguridad.
Si no configuró al demonio http para leer archivos desde un sistema de archivos CIFS, puede ser señal de un intento de ataque.
SELinux negó al demonio ftp $ACCESS archivos almacenados en un
sistema de archivo CIFS.
SELinux previno acerca de la intención del demonio http de $ACCESS archivos
almacenados en un sistema de archivos NFS. NFS (Sistema de Archivo de Red)
es un sistema de archivo de red comúnmente usado en sistemas Unix/Linux
El demonio ftp intentó leer uno o mas archivos o directorios desde un sistema
de archivo de este tipo montando. Como los sistemas de archivos NFS no dan
soporte a un etiquetado de archivo más fino, todos los archivos y directorios
en el sistema de archivo tendrán el mismo contexto de seguridad.
Si no ha configurado al demonio ftp para leer archivos en un sistema de archivo
NFS, este acceso puede estar indicando un intento de ataque.
SELinux previno acerca de la intención del demonio http el/la $ACCESS a archivos almacenados en un sistema de archivo NFS.
SELinux negó hacer ejecutable a la pila al plugin de java ($SOURCE_TYPE).
Una pila ejecutable no puede ser requerida por ningún software (vea
<a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
para más información). Sin embargo, algunas versiones de plugin de Java
se conocen por requerir este tipo de acceso para funcionar adecuadamente.
Debe verificar actualizaciones de software antes de permitir este acceso.
SELinux previno acerca de la intención del plugin de mplayer ($SOURCE_TYPE) de
hacer ejecutable a la pila. Una pila ejecutable no puede ser requerida por ningún
software (vea <a href="http://people.redhat.com/drepper/selinux-mem.html">Pruebas de Protección de la Memoria de SELinux</a>
para más información). Sin embargo, algunas versiones del plugin de mplayer
se conocen por requerir este tipo de acceso para funcionar adecuadamente.
Debe verificar actualizaciones de software antes de permitir este acceso.
SELinux ha negado al demonio tftp la escritura en $TARGET_PATH. Normalmente
tftpd se configura para sólo leer el contenido y no modificarlo. Si configuró
tftpd para modificar $TARGET_PATH necesita cambiar esta etiqueta. Si no
lo configuró para modificar $TARGET_PATH, puede ser señal de un intento de ataque.
A veces una biblioteca es marcada accidentalmente con la bandera
execstack; si encuentra una biblioteca con esta bandera, la puede limpiar
con execstack -c LIBRARY_PATH. Entonces reintente con su aplicación.
Si aún así no fucniona, puede volverla a activar con execstac -s LIBRARY_PATH.
Sino, si Ud. confía en que $SOURCE se ejecutará correctamente, puede
cambiar el contexto del ejecutable a execmem_exec_t. "chcon -t execmem_exec_t
'$SOURCE_PATH'"
También puede cambiar los archivos de contexto de archivo por defecto en el sistema de archivo, a los efectos de preservarlos en caso de un reetiquetado completo. "semanage fcontext -a -t unconfined_execmem_exec_t '$SOURCE_PATH'"
The $SOURCE application attempted to change the access protection
of memory (e.g., allocated using malloc). This is a potential
security problem. Firefox is probably not the problem here ,but one of its plugins. You could remove the plugin and the app would no longer require the access. If you figure out which plugin is causing the access request, please open a bug report on the plugin.
La aplicación $SOURCE intentó cambiar la protección de acceso de memoria en
la memoria dinámica (por ejemplo, la asignada usando malloc). Este es un problema
potencial de seguridad. Las aplicaciones nunca deberían hacer esto. A veces, se las
codifica de manera incorrecta y requieren este permiso. La página web de
<a href="http://people.redhat.com/drepper/selinux-mem.html">Pruebas de Protección de Memoria en SELinux</a>
explica cómo eliminar este requerimiento. Si $SOURCE no funciona y Ud. necesita
que lo haga, puede configurar SELinux para que temporalmente permita este acceso
hasta que la aplicación sea correjida. Por favor, haga un <a
href="http://bugzilla.redhat.com/bugzilla/enter_bug.cgi">informe de error</a>
contra este paquete.
La aplicación $SOURCE intentó cargar $TARGET_PATH que requiere
reasignación de texto. Esto es un problema de seguridad potencial.
La mayoría de las bibliotecas no necesitan este permiso. Las bibliotecas
son a veces codificadas incorrectamente y requieren este permiso. La página web de
<a href="http://people.redhat.com/drepper/selinux-mem.html">Pruebas de Protección de Memoria en SELinux</a>
explica cómo eliminar este requerimiento. Puede configurar SELinux para que
temporalmente permita a $TARGET_PATH usar la reubicación mientras se corrije
la biblioteca. Por favor, ingrese un <a href="http://bugzilla.redhat.com/bugzilla/enter_bug.cgi">informe de error</a>
contra este paquete.
La aplicación $SOURCE intentó cargar $TARGET_PATH que requiere
reasignación de texto. Esto es un problema de seguridad potencial.
La mayoría de las bibliotecas no necesitan este permiso. La página web de
<a href="http://people.redhat.com/drepper/selinux-mem.html">Pruebas de Protección de Memoria en SELinux</a>
explica cómo eliminar este requerimiento. Esta herramienta examinó la biblioteca
y parece que fue construída correctamente. Por eso setroubleshoot no puede
determinar si esta aplicación está comprometida o no. Esto puede ser algo serio.
Su sistema bien puede estar comprometido.
Contacte a su administrador de seguridad e informe esto.
La aplicación $SOURCE intentó hacer su pila ejecutable.
Este es un problema de seguridad potencial. Nunca debe ser
necesario. La memoria de la pila no es ejecutable en la mayoría
de los sistemas operativos actuales y esto no cambiará. Una
memoria de pila ejecutable es uno de los mayores problemas de
seguridad. Un error de ejecución en pila puede en realidad ser
generado a propósito por código malicioso. Las aplicaciones son a
a veces codificadas incorrectamente y requieren este permiso.
La página web de <a href="http://people.redhat.com/drepper/selinux-mem.html">Pruebas de Protección de Memoria en SELinux</a>
explica cómo eliminar este requerimiento. Si $SOURCE no
funciona y necesita que lo haga, puede configurar SELinux para
que permita temporalmente este acceso hasta que se corrija la
aplicación. Por favor, haga un <a
href="http://bugzilla.redhat.com/bugzilla/enter_bug.cgi">informe de error</a>
contra este paquete.
Use un comando como "cp -P" para preservar todos los permisos excepto el contexto SELinux.
Puede cambiar el contexto de archivo ejecutando "chcon -t bin_t '$TARGET_PATH'" o
"chcon -t lib_t '$TARGET_PATH'" si es una biblioteca compartida. Si quiere que los cambios sean permanentes, debe ejecutar el comando semanage.
"semanage fcontext -a -t bin_t '$TARGET_PATH'" o
"semanage fcontext -a -t lib_t '$TARGET_PATH'".
Si piensa que esta biblioteca compartida/ejecutable está en el lugar incorrecto, por favor envíe un error contra el paquete que incluye este archivo. Si piensa que SELinux debe saber acerca de este archivo y etiquetarlo correctamente, por favor envíe un error contra <a href="http://bugzilla.redhat.com/bugzilla/enter_bug.cgi">SELinux policy</a>.
Puede alterar el contexto de archivo ejecutando chcon -R -t cvs_data_t '$TARGET_PATH'
También debe cambiar los archivos de contexto de archivo por defecto en el sistema, para preservarlos incluso después de un reetiquetado completo. "semanage fcontext -a -t cvs_data_t '$TARGET_PATH'"
Puede cambiar el contexto de archivo ejecutando
chcon -t rsync_data_t '$TARGET_PATH' También debe cambiar los archivos de contextos de archivos predeterminado del sistema, para que se preserven incluso después de un reetiquetado completo.
"semanage fcontext -a -t rsync_data_t '$TARGET_PATH'"
Puede cambiar el contexto de archivo ejecutando chcon -R -t samba_share_t '$TARGET_PATH'
También debe cambiar los archivos de contexto de archivos predeterminados del sistema para preservarlos incluso después de un reetiquetado completo.
"semanage fcontext -a -t samba_share_t '$TARGET_PATH'"
Puede cambiar el contexto de archivo ejecutando chcon -t public_content_t '$TARGET_PATH'
También debe cambiar los archivos de contexto de archivos predeterminados del sistema para preservarlos incluso después de un reetiquetado completo. "semanage fcontext -a -t public_content_t '$TARGET_PATH'"
Puede cambiar el contexto de archivo ejecutando
chcon -t swapfile_t '$TARGET_PATH'
También debe cambiar los archivos de contexto de archivos predeterminados del sistema para preservarlos incluso después de un reetiquetado completo.
"semanage fcontext -a -t swapfile_t '$TARGET_PATH'"
Puede cambiar el contexto de archivo ejecutando
chcon -t virt_image_t '$TARGET_PATH'
También debe cambiar los archivos de contexto de archivos por defecto del sistema para preservarlos incluso después de un reetiquetado completo del sistema.
"semanage fcontext -a -t virt_image_t '$TARGET_PATH'"
Puede cambiar el contexto de archivo ejecutando
chcon -t xen_image_t '$TARGET_PATH'
También debe cambiar los archivos de contexto de archivos por defecto del sistema para preservarlos incluso después de un reetiquetado completo del sistema.
"semanage fcontext -a -t xen_image_t '$TARGET_PATH'"
Puede ejecutar el siguiente comando como root para reetiquetar su
sistema: "touch /.autorelabel; reboot"
Puede generar un módulo de política local para permitir este acceso
vea <a href="http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385">FAQ</a>
Puede generar un módulo de política local para permitir este acceso
vea <a href="http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385">FAQ</a>
Por favor, informe este error.
Puede restaurar el contexto predeterminado del sistema para este archivo ejecutando el comando restorecon
restorecon '$TARGET_PATH'
Si este archivo es un directorio, puede restaurar recursivamente haciendo
restorecon -R '$TARGET_PATH'.
¡Su sistema puede estar seriamente comprometido!
¡Su sistema puede estar seriamente comprometido! $SOURCE_PATH intentó nmap la memoria baja del kernel.
¡Su sistema puede estar seriamente comprometido! $SOURCE_PATH intentó cargar un módulo del kernel.
¡Su sistema puede estar seriamente comprometido! $SOURCE_PATH intentó modificar el estado actual de SELinux.
¡Su sistema puede estar seriamente comprometido! $SOURCE_PATH intentó modificar la configuración del kernel.
Si decide continuar ejecutando el programa en cuestión, necesitará
permitir esta operación. Esto se puede hacer por la línea de comando
ejecutando:
# setsebool -P mmap_low_allowed 1
SELinux negó una operación pedida por $SOURCE, un programa usado
para alterar el estado del hardware de video. Este programa es
conocido por usar una operación insegura en la memoria del sistema
por lo que hay un número de programas malware/exploit que se
enmascaran como vbetool. Esta herramienta se usa para resetear el
estado del video cuando una máquina reasume desde una suspensión.
Si su máquina no está reasumiendo apropiadamente, su única opción
es permitir esta operación y reducir la seguridad de su sistema
contra tales malware.
SELinux negó una operación pedida por el precargador de wine, un programa
usado para ejecutar una aplicación Windows bajo Linux. Este programa
es conocido por usar una operación insegura sobre la memoria del sistema y
también hay muchos programas malware/exploit que se enmascaran como wine.
Si estuvo intentando ejecutar un programa Windows, su única opción es
permitir esta operación y reducir la seguridad del sistema contra esos
malware o abstenerse de ejecutar aplicaciones Windows bajo Linux. Si no
está intentando ejecutar una aplicación Windows, esto indica que puede
estar bajo ataque de alguno de los malware o programas que explotan su
sistema con fines nefastos.
Por favor, vea en
http://wiki.winehq.org/PreloaderPageZeroProblem
donde se delinea todos los demás problemas de wine descubiertos debido
a su uso inseguro de la memoria y las soluciones a esos problemas.
There are two ways to fix this problem, you can install the nsspluginwrapper package, which will cause firefox to run its plugins under a separate process. This process will allow the execmem access. This is the safest choice. You could also turn off the allow_unconfined_nsplugin_transition boolean.
<br>
setsebool -P allow_unconfined_nsplugin_transition=0
</br>
Si quiere que el demonio http escuche en el puerto ftp, necesitará
activar el booleano $BOOLEAN: "setsebool -P $BOOLEAN=1"
Cambiando los booleanos "$BOOLEAN" and
"$WRITE_BOOLEAN" a 1 permitirá este acceso:
"setsebool -P $BOOLEAN=1 $WRITE_BOOLEAN=1".
Advertencia: poner el valor de "$WRITE_BOOLEAN" a 1
permitirá al demonio ftp escribir a todo el contenido público
(archivos y directorios con el tipo public_content_t) además
de escribir a archivos y directorios en sistemas de archivos CIFS. Cambiando los booleanos "allow_ftpd_use_nfs" and
"$WRITE_BOOLEAN" a 1 permitirán este acceso:
"setsebool -P allow_ftpd_use_nfs=1 $WRITE_BOOLEAN=1".
Advertencia: poner el booleano $WRITE_BOOLEAN a 1 permitirá
al demonio ftp escribir a todo el contenido público (archivos y
directorios con el tipo public_content_t) además de escribir a
archivos y directorios en sistemas de archivos NFS. <br><br>Descripción del Booleano:<br>%s<br><br> Autorización CRON CVS Elija uno de los siguientes para permitir el acceso:<br> Servicio de Nombres de Dominio FTP Etiqueta de Archivo Sistema de Archivo Java Kernel Correo Medio Memoria Puertos de Red Redes Uno de los siguientes booleanos está mal puesto: <b>%s</b> RSYNC Restaurar Contexto SAMBA SELinux está negando a $SOURCE_PATH el acceso "$ACCESS SELinux negó al demonio gss la lectura de archivos
temporales no privilegiados de usuarios (por ejemplo, archivos en
/tmp). Permitir esto no supone mayores riesgos, pero si no
configuró al demonio gss para leer estos archivos, este pedido
de lectura puede estar indicando un ataque. TFTP El booleano <b>%s</b> está mal puesto. Deshabilitar la protección de memoria Servidor Web Zebra