| Server IP : 182.53.201.61 / Your IP : 216.73.217.175 Web Server : Apache/2.2.15 (Fedora) System : Linux km10.dyndns.org 2.6.31.5-127.fc12.i686.PAE #1 SMP Sat Nov 7 21:25:57 EST 2009 i686 User : apache ( 48) PHP Version : 5.3.3 Disable Function : NONE MySQL : ON | cURL : ON | WGET : ON | Perl : ON | Python : ON | Sudo : ON | Pkexec : ON Directory : /usr/share/locale/ru/LC_MESSAGES/ |
Upload File : |
L ] | 1 = # a V g g h & | $ 1 ! # % ' )w * + R , - . /B / 0^ 1q 1 2~ t 3 3 4/ } 4 } 53 } 5 6/ 6 7= 7 8P \ 8 :J : x ; =. = & >W C ?~ @ A BN B CP C D\ E[ Ft . LZ b N O q Q Sv V2 X Y9 [ ] _1 `A b c e U g< 4 i k mS n ' o
pB qM rL s; tO uh vr w xv y . z\ { | ~ ~ V I P N P 5 6 l G S N f N V G [ ] O k Q R q I f V 3 b V G D S W j 8 h b l o L U ) N \ W + H K U B n N E G F N d a B ^ M c Q O V ` \ a V X v I X U r T ^ 7 ] W ^ q _ 3 _ Q o S H E Q B f # G D G q _ ] t 8 ^ I A V 8 8 > : Z ] b ? V W - Y ] > X Ȝ Z p P Z ` Y } Ч E } X D ڃ $ O X t S
! / < K ] c m z u D 3 , e ` _ e & f J v n y *
; I N 1 R
; & , < 3 B v *
f K 3 1 | 2 D
U U
'
{ # !* h #) $ % & 'Q ) ) * +\ , - - . /v 07 0 1 2 3P 4 1 6& 7X 8y :Y ;V < = 1 ? A% A B C
D W E G* H _ Q U0 b WE X o \ a c U e^ i l oc qh t w z; | R T 5 j O & v - 1 6 6 c 9 4 n * } " ' : 9 t 1
" ? b 0 : . k ) k o 4 Z Ť o Y o m [ y l C Ȱ R G ɚ C s i a ` ? ̠ h { Ϧ h " n Ћ { ј z d ҏ d v N d X Գ d q ְ _ y i ؏ | D k L a ۸ ܶ ` 7 ݘ Q I E v ( > g = 6 < s s
Y q S T c : + ! F M v # j O O ] f
U
~
x k m V & n } 6 v a # &; ($ + .^ 2 6 ;v A B= F G I Kx M= N P R Sg / TS U j Va V W Xd Y/ Y 7 [ a> c? c G f R hQ h h h h ; iF i i i i i
i i i i ! j
V j/ j ) j j ? j j l X l , mV m m G d } | h , S * 5 8 f 4 1 [ l ) s z i K \ : R x o @ ' y j 2 ( P { + u # w M p D ~ g ! N q t - V ? T " L n e 6 J 7 0 ^ C v . Y ; / U O c
9 m W E & ] % Q Z X a H I 3 b $ F ` B >
_ A r = < k
SELinux denied access requested by $SOURCE. It is not
expected that this access is required by $SOURCE and this access
may signal an intrusion attempt. It is also possible that the specific
version or configuration of the application is causing it to require
additional access.
SELinux denied access requested by $SOURCE. The current boolean
settings do not allow this access. If you have not setup $SOURCE to
require this access this may signal an intrusion attempt. If you do intend
this access you need to change the booleans on this system to allow
the access.
SELinux has denied $SOURCE "$ACCESS" access to device $TARGET_PATH.
$TARGET_PATH is mislabeled, this device has the default label of the /dev directory, which should not
happen. All Character and/or Block Devices should have a label.
You can attempt to change the label of the file using
restorecon -v '$TARGET_PATH'.
If this device remains labeled device_t, then this is a bug in SELinux policy.
Please file a bg report.
If you look at the other similar devices labels, ls -lZ /dev/SIMILAR, and find a type that would work for $TARGET_PATH,
you can use chcon -t SIMILAR_TYPE '$TARGET_PATH', If this fixes the problem, you can make this permanent by executing
semanage fcontext -a -t SIMILAR_TYPE '$TARGET_PATH'
If the restorecon changes the context, this indicates that the application that created the device, created it without
using SELinux APIs. If you can figure out which application created the device, please file a bug report against this application.
Attempt restorecon -v '$TARGET_PATH' or chcon -t SIMILAR_TYPE '$TARGET_PATH'
Changing the "$BOOLEAN" boolean to true will allow this access:
"setsebool -P $BOOLEAN=1"
Changing the "$BOOLEAN" boolean to true will allow this access:
"setsebool -P $BOOLEAN=1."
Changing the "allow_ftpd_use_nfs" boolean to true will allow this access:
"setsebool -P allow_ftpd_use_nfs=1."
Changing the file_context to mnt_t will allow mount to mount the file system:
"chcon -t mnt_t '$TARGET_PATH'."
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t mnt_t '$TARGET_PATH'"
Confined processes can be configured to run requiring different access, SELinux provides booleans to allow you to turn on/off
access as needed.
If ftp should be allowed to write to this directory you need to turn
on the $BOOLEAN boolean and change the file context of
the public directory to public_content_rw_t. Read the rsync_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If httpd scripts should be allowed to write to public directories you need to turn on the $BOOLEAN boolean and change the file context of the public directory to public_content_rw_t. Read the httpd_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If httpd should be allowed to write to this directory you need to turn
on the $BOOLEAN boolean and change the file context of
the public directory to public_content_rw_t. Read the httpd_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If samba should be allowed to write to this directory you need to turn
on the $BOOLEAN boolean and change the file context of
the public directory to public_content_rw_t. Read the samba_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If the ftp daemon should be allowed to write to this directory you need to turn
on the $BOOLEAN boolean and change the file context of
the public directory to public_content_rw_t. Read the ftpd_selinux
man page for further information:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <path>"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_rw_t <path>"
If you allow the management of the kernel modules on your machine,
turn off the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=0".
If you created a directory in / and want $SOURCE to use these files you must tell SELinux about it by changing the labels. Execute the following commands: <br>
<b># semanage fcontext -t FILE_TYPE '$TARGET_PATH%s' </b>
<br>where FILE_TYPE is one of the following: %s.
<br><b># restorecon -v $TARGET_PATH</b>
<br><br>If the $TARGET_PATH is not in / you probably need to relabel the system. Execute:
<br><b>"touch /.autorelabel; reboot"</b>
If you do not want SELinux preventing ftp from writing files anywhere on
the system you need to turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you trust $TARGET_PATH to run correctly, you can change the
file context to textrel_shlib_t. "chcon -t textrel_shlib_t
'$TARGET_PATH'"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t textrel_shlib_t '$TARGET_PATH'"
If you want $SOURCE to access this files, you need to
relabel them using restorecon -v '$TARGET_PATH'. You might want to
relabel the entire directory using restorecon -R -v '$TARGET_DIR'.
If you want $SOURCE to continue, you must turn on the
$BOOLEAN boolean. Note: This boolean will affect all applications
on the system.
If you want ftp to allow users access to their home directories
you need to turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to allow database connections you need to turn on the
$BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to be able to run a particular shell script,
you can label it with chcon -t httpd_sys_script_exec_t SCRIPTFILE. If you
want httpd to be able execute any shell script you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want httpd to be able to run cgi scripts, you need to
turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to connect to httpd/ftp ports you need to turn
on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to connect to network ports you need to turn on the
httpd_can_network_network_connect boolean: "setsebool -P
$BOOLEAN=1"
If you want httpd to send mail you need to turn on the
$BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want named to run as a secondary server and accept zone
transfers you need to turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want ppp to be able to insert kernel modules you need to
turn on the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want samba to share home directories you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want samba to share nfs file systems you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want spamd to share home directories you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want squid to connect to network ports you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want the http daemon to be able to access the terminal, you
must set the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want the http daemon to share home directories you need to
turn on the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
If you want the http daemon to use built in scripting you need to
enable the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want the sasl authentication daemon to be able to read
the /etc/shadow file change the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1".
If you want to allow $SOURCE to bind to port $PORT_NUMBER, you can execute <br>
<b># semanage port -a -t PORT_TYPE -p %s $PORT_NUMBER</b>
<br>where PORT_TYPE is one of the following: %s.
<br><br>If this system is running as an NIS Client, turning on the allow_ypbind boolean may fix the problem. setsebool -P allow_ypbind=1.
If you want to allow $SOURCE to bind to this port
semanage port -a -t inetd_child_port_t -p PROTOCOL $PORT_NUMBER
Where PROTOCOL is tcp or udp.
If you want to allow $SOURCE to connect to $PORT_NUMBER, you can execute <br>
<b>semanage port -a -t PORT_TYPE -p %s $PORT_NUMBER</b>
<br>where PORT_TYPE is one of the following: %s.
If you want to allow $SOURCE to execute $TARGET_PATH:
chcon -t bin_t '$TARGET_PATH'
If this fix works, please update the file context on disk, with the following command:
semanage fcontext -a -t bin_t '$TARGET_PATH'
Please specify the full path to the executable, Please file a bug report
to make sure this becomes the default labeling.
If you want to allow user programs to run as TCP Servers, you can turn on the user_tcp_server boolean, by executing:
setsebool -P $BOOLEAN=1
If you want to allow zebra to overwrite its configuration you must
turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1"
If you want to change the file context of $TARGET_PATH so that the automounter can execute it you can execute "chcon -t bin_t $TARGET_PATH". If you want this to survive a relabel, you need to permanently change the file context: execute "semanage fcontext -a -t bin_t $TARGET_PATH".
If you want to change the file context of $TARGET_PATH so that the httpd
daemon can access it, you need to execute it using
semanage fcontext -a -t FILE_TYPE '$TARGET_PATH'.
<br><br>where FILE_TYPE is one of the following: %s.
You can look at the httpd_selinux man page for additional information.
If you want to change the file context of $TARGET_PATH so that the tftp
daemon can modify it, you need to execute it using<br>
<b># semanage fcontext -m tftpdir_rw_t '/tftpboot(/.*)?'</b>
<br><b># restorecon -R -v /tftpboot</b></br>
If you want to export a public file systems using nfs you need to
turn on the $BOOLEAN boolean: "setsebool -P
$BOOLEAN=1".
If you want to export file systems using nfs you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1".
If you want to export file systems using samba you need to turn on
the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1".
If you want to export writable file systems using nfs you need to turn on the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1".
If you want to export writable file systems using samba you need to turn on the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1".
If you want to modify the way SELinux is running on your machine
you need to bring the machine to single user mode with enforcing
turned off. The turn off the secure_mode_policyload boolean:
"setsebool -P secure_mode_policyload=0".
SELinux denied $SOURCE access to $TARGET_PATH.
If this is a swapfile it has to have a file context label of
swapfile_t. If you did not intend to use
$TARGET_PATH as a swapfile it probably indicates a bug, however it could also
signal a intrusion attempt.
SELinux denied access requested by $SOURCE. $TARGET_PATH may
be a mislabeled. $TARGET_PATH default SELinux type is
<B>$MATCHTYPE</B>, but its current type is <B>$TARGET_TYPE</B>. Changing
this file back to the default type, may fix your problem.
<p>
File contexts can be assigned to a file in the following ways.
<ul>
<li>Files created in a directory receive the file context of the parent directory by default.
<li>The SELinux policy might override the default label inherited from the parent directory by
specifying a process running in context A which creates a file in a directory labeled B
will instead create the file with label C. An example of this would be the dhcp client running
with the dhclient_t type and creating a file in the directory /etc. This file would normally
receive the etc_t type due to parental inheritance but instead the file
is labeled with the net_conf_t type because the SELinux policy specifies this.
<li>Users can change the file context on a file using tools such as chcon, or restorecon.
</ul>
This file could have been mislabeled either by user error, or if an normally confined application
was run under the wrong domain.
<p>
However, this might also indicate a bug in SELinux because the file should not have been labeled
with this type.
<p>
If you believe this is a bug, please file a bug report against this package.
SELinux denied access requested by the $SOURCE command. It looks like this is either a leaked descriptor or $SOURCE output was redirected to a file it is not allowed to access. Leaks usually can be ignored since SELinux is just closing the leak and reporting the error. The application does not use the descriptor, so it will run properly. If this is a redirection, you will not get output in the $TARGET_PATH. You should generate a bugzilla on selinux-policy, and it will get routed to the appropriate package. You can safely ignore this avc.
SELinux denied access to $TARGET_PATH requested by $SOURCE.
$TARGET_PATH has a context used for sharing by a different program. If you
would like to share $TARGET_PATH from $SOURCE also, you need to
change its file context to public_content_t. If you did not intend to
allow this access, this could signal an intrusion attempt.
SELinux denied cvs access to $TARGET_PATH.
If this is a CVS repository it needs to have a file context label of
cvs_data_t. If you did not intend to use $TARGET_PATH as a CVS repository
it could indicate either a bug or it could signal an intrusion attempt.
SELinux denied prelink $ACCESS on $TARGET_PATH.
The prelink program is only allowed to manipulate files that are identified as
executables or shared libraries by SELinux. Libraries that get placed in
lib directories get labeled by default as a shared library. Similarly,
executables that get placed in a bin or sbin directory get labeled as executables by SELinux. However, if these files get installed in other directories
they might not get the correct label. If prelink is trying
to manipulate a file that is not a binary or share library this may indicate an
intrusion attack.
SELinux denied qemu access to $TARGET_PATH.
If this is a virtualization image, it has to have a file context label of
virt_image_t. The system is setup to label image files in directory./var/lib/libvirt/images
correctly. We recommend that you copy your image file to /var/lib/libvirt/images.
If you really want to have your qemu image files in the current directory, you can relabel $TARGET_PATH to be virt_image_t using chcon. You also need to execute semanage fcontext -a -t virt_image_t '$TARGET_PATH' to add this
new path to the system defaults. If you did not intend to use $TARGET_PATH as a qemu
image it could indicate either a bug or an intrusion attempt.
SELinux denied qemu access to the block device $TARGET_PATH.
If this is a virtualization image, it needs to be labeled with a virtualization file context (virt_image_t). You can relabel $TARGET_PATH to be virt_image_t using chcon. You also need to execute semanage fcontext -a -t virt_image_t '$TARGET_PATH' to add this
new path to the system defaults. If you did not intend to use $TARGET_PATH as a qemu
image it could indicate either a bug or an intrusion attempt.
SELinux denied rsync access to $TARGET_PATH.
If this is a RSYNC repository it has to have a file context label of
rsync_data_t. If you did not intend to use $TARGET_PATH as a rsync repository
it could indicate either a bug or it could signal a intrusion attempt.
SELinux denied xen access to $TARGET_PATH.
If this is a XEN image, it has to have a file context label of
xen_image_t. The system is setup to label image files in directory /var/lib/xen/images
correctly. We recommend that you copy your image file to /var/lib/xen/images.
If you really want to have your xen image files in the current directory, you can relabel $TARGET_PATH to be xen_image_t using chcon. You also need to execute semanage fcontext -a -t xen_image_t '$TARGET_PATH' to add this
new path to the system defaults. If you did not intend to use $TARGET_PATH as a xen
image it could indicate either a bug or an intrusion attempt.
SELinux has denied $SOURCE access to potentially
mislabeled file(s) ($TARGET_PATH). This means that SELinux will not
allow $SOURCE to use these files. It is common for users to edit
files in their home directory or tmp directories and then move
(mv) them to system directories. The problem is that the files
end up with the wrong file context which confined applications are not allowed to access.
SELinux has denied $SOURCE from connecting to a network port $PORT_NUMBER which does not have an SELinux type associated with it.
If $SOURCE should be allowed to connect on $PORT_NUMBER, use the <i>semanage</i> command to assign $PORT_NUMBER to a port type that $SOURCE_TYPE can connect to (%s).
<br><br>If $SOURCE is not supposed
to connect to $PORT_NUMBER, this could signal a intrusion attempt.
SELinux has denied kernel module utilities from modifying
kernel modules. This machine is hardened to not allow the kernel to
be modified, except in single user mode. If you did not try to
manage a kernel module, this probably signals an intrusion.
SELinux has denied the $SOURCE access to potentially
mislabeled files $TARGET_PATH. This means that SELinux will not
allow httpd to use these files. If httpd should be allowed this access to these files you should change the file context to one of the following types, %s.
Many third party apps install html files
in directories that SELinux policy cannot predict. These directories
have to be labeled with a file context which httpd can access.
SELinux has denied the $SOURCE from binding to a network port $PORT_NUMBER which does not have an SELinux type associated with it.
If $SOURCE is supposed to be allowed to listen on this port, you can use the semanage command to add this port to a inetd_child_port_t type. If you think this is the default please file a bug report against the selinux-policy package.
If $SOURCE is not supposed
to bind to this port, this could signal an intrusion attempt.
SELinux has denied the $SOURCE from binding to a network port $PORT_NUMBER which does not have an SELinux type associated with it.
If $SOURCE should be allowed to listen on $PORT_NUMBER, use the <i>semanage</i> command to assign $PORT_NUMBER to a port type that $SOURCE_TYPE can bind to (%s).
<br><br>If $SOURCE is not supposed
to bind to $PORT_NUMBER, this could signal an intrusion attempt.
SELinux has denied the $SOURCE from executing $TARGET_PATH.
If $SOURCE is supposed to be able to execute $TARGET_PATH, this could be a labeling problem. Most confined domains are allowed to execute files labeled bin_t. So you could change the labeling on this file to bin_t and retry the application. If this $SOURCE is not supposed to execute $TARGET_PATH, this could signal an intrusion attempt.
SELinux has denied the $SOURCE program from binding to a network port $PORT_NUMBER which does not have an SELinux type associated with it.
$SOURCE does not have an SELinux policy defined for it when run by the user, so it runs in the users domain. SELinux is currently setup to
deny TCP servers to run within the user domain. If you do not expect programs like $SOURCE to bind to a network port, then this could signal
an intrusion attempt. If this system is running as an NIS Client, turning on the allow_ypbind boolean may fix the problem.
setsebool -P allow_ypbind=1.
SELinux has denied the $SOURCE the ability to mmap low area of the kernel
address space. The ability to mmap a low area of the address space, as
configured by /proc/sys/kernel/mmap_min_addr. Preventing such mappings
helps protect against exploiting null deref bugs in the kernel. All
applications that need this access should have already had policy written
for them. If a compromised application tries modify the kernel this AVC
would be generated. This is a serious issue. Your system may very well be
compromised.
SELinux has denied the $SOURCE_PATH from executing potentially
mislabeled files $TARGET_PATH. Automounter can be setup to execute
configuration files. If $TARGET_PATH is an automount executable
configuration file it needs to have a file label of bin_t.
If automounter is trying to execute something that it is not supposed to, this could indicate an intrusion attempt.
SELinux has denied the Point-to-Point Protocol daemon from
inserting a kernel module. If pppd is not setup to insert kernel
modules, this probably signals a intrusion attempt.
SELinux has denied the ftp daemon access to users home directories
($TARGET_PATH). Someone is attempting to login via your ftp daemon
to a user account. If you only setup ftp to allow anonymous ftp,
this could signal an intrusion attempt.
SELinux has denied the ftp daemon write access to directories outside
the home directory ($TARGET_PATH). Someone has logged in via
your ftp daemon and is trying to create or write a file. If you only setup
ftp to allow anonymous ftp, this could signal an intrusion attempt.
SELinux has denied the http daemon access to users' home
directories. Someone is attempting to access your home directories
via your http daemon. If you have not setup httpd to share home
directories, this probably signals an intrusion attempt.
SELinux has denied the http daemon from connecting to $PORT_NUMBER. An
httpd script is trying to make a network connection to a remote port. If you
did not setup httpd to make network connections, this could signal an intrusion attempt.
SELinux has denied the http daemon from connecting to a database. An
httpd script is trying to connect to a database port. If you did not
setup httpd to allow database connections, this could signal an intrusion attempt.
SELinux has denied the http daemon from connecting to itself or
the relay ports. An httpd script is trying to make a network connection
to an http/ftp port. If you did not setup httpd to make network
connections, this could signal an intrusion attempt.
SELinux has denied the http daemon from executing a cgi
script. httpd can be setup in a locked down mode where cgi scripts
are not allowed to be executed. If the httpd server has been setup
to not execute cgi scripts, this could signal an intrusion attempt.
SELinux has denied the http daemon from executing a shell
script. Ordinarily, httpd requires that all scripts (CGIs) be
labeled httpd_sys_script_exec_t. If httpd should not be running
this shell script, this could signal an intrusion attempt.
SELinux has denied the http daemon from listening for incoming
connections on the ftp port. This means that SELinux will not
allow httpd to run as a ftp server. If you did not setup httpd to
run as a ftp server, this may signal an intrusion attempt.
SELinux has denied the http daemon from sending mail. An
httpd script is trying to connect to a mail port or execute the
sendmail command. If you did not setup httpd to sendmail, this could
signal a intrusion attempt.
SELinux has denied the http daemon from using built-in scripting.
This means that SELinux will not allow httpd to use loadable
modules to run scripts internally. If you did not setup httpd to
use built-in scripting, this may signal an intrusion attempt.
SELinux has denied the management tools from modifying the way the
SELinux policy runs. This machine is hardened, so if you did not run
any SELinux tools, this probably signals an intrusion.
SELinux has denied the named daemon from writing zone
files. Ordinarily, named is not required to write to these files.
Only secondary servers should be required to write to these
directories. If this machine is not a secondary server, this
could signal an intrusion attempt.
SELinux has denied the samba daemon access to nfs file
systems. Someone is attempting to access an nfs file system via
your samba daemon. If you did not setup samba to share nfs file
systems, this probably signals an intrusion attempt.
SELinux has denied the samba daemon access to users' home
directories. Someone is attempting to access your home directories
via your samba daemon. If you only setup samba to share non-home
directories, this probably signals an intrusion attempt.
For more information on SELinux integration with samba, look at the
samba_selinux man page. (man samba_selinux)
SELinux has denied the sasl authentication daemon from reading the
/etc/shadow file. If the sasl authentication daemon (saslauthd) is
not setup to read the /etc/shadow, this could signal an
intrusion.
SELinux has denied the spamd daemon access to users' home
directories. Someone is attempting to access your home directories
via your spamd daemon. If you only setup spamd to share non-home
directories, this probably signals an intrusion attempt.
SELinux has denied the squid daemon from connecting to
$PORT_NUMBER. By default squid policy is setup to deny squid
connections. If you did not setup squid to network connections,
this could signal a intrusion attempt.
SELinux has denied the zebra daemon from writing out its
configuration files. Ordinarily, zebra is not required to write
its configuration files. If zebra was not setup to write the
config files, this could signal an intrusion attempt.
SELinux has prevented $SOURCE from loading a kernel module.
All confined programs that need to load kernel modules should have already had policy
written for them. If a compromised application
tries to modify the kernel this AVC will be generated. This is a serious
issue. Your system may very well be compromised.
SELinux has prevented $SOURCE from modifying $TARGET. This denial
indicates $SOURCE was trying to modify the selinux policy configuration.
All applications that need this access should have already had policy
written for them. If a compromised application tries to modify the SELinux
policy this AVC will be generated. This is a serious issue. Your system
may very well be compromised.
SELinux has prevented $SOURCE from modifying $TARGET. This denial
indicates $SOURCE was trying to modify the way the kernel runs or to
actually insert code into the kernel. All applications that need this
access should have already had policy written for them. If a compromised
application tries to modify the kernel this AVC will be generated. This is a
serious issue. Your system may very well be compromised.
SELinux has prevented $SOURCE from writing to a file under /selinux.
Files under /selinux control the way SELinux is configured.
All programs that need to write to files under /selinux should have already had policy
written for them. If a compromised application tries to turn off SELinux
this AVC will be generated. This is a serious issue. Your system may very
well be compromised.
SELinux has prevented wine from performing an unsafe memory operation.
SELinux has preventing the nfs daemon (nfsd) from read files on
the local system. If you have not exported these file systems, this
could signal an intrusion.
SELinux has preventing the nfs daemon (nfsd) from writing files on the local system. If you have not exported any file systems (rw), this could signal an intrusion.
SELinux has preventing the nfs daemon (nfsd) from writing to
directories marked as public. Usually these directories are
shared between multiple network daemons, like nfs, apache, ftp
etc. If you have not exported any public file systems for
writing, this could signal an intrusion.
SELinux has preventing the samba daemon (smbd) from reading files on
the local system. If you have not exported these file systems, this
could signal an intrusion.
SELinux has preventing the samba daemon (smbd) from writing files on the local system. If you have not exported any file systems (rw), this could signal an intrusion.
SELinux is not allowing the http daemon to communicate with the
terminal. Most daemons do not need to communicate
with the terminal. httpd can be setup to require information
during the boot process which would require this access. If you
did not setup httpd to require access to the terminal, this may
signal an intrusion attempt.
SELinux is preventing $SOURCE "$ACCESS" access to files with the default label, default_t.
The default_t label is the default label for new directories created under the / directory. No confined applications are allowed to access files labeled default_t. This probably indicates a labeling problem, especially if the files being referred
to are not top level directories. Any files/directories under standard system directories, /usr,
/var. /dev, /tmp, ..., should not be labeled with the default_t. If you create a new directory in / it will get this label.
SELinux is preventing $SOURCE from creating a file with a context of $SOURCE_TYPE on a filesystem.
Usually this happens when you ask the cp command to maintain the context of a file when
copying between file systems, "cp -a" for example. Not all file contexts should be maintained
between the file systems. For example, a read-only file type like iso9660_t should not be placed
on a r/w system. "cp -P" might be a better solution, as this will adopt the default file context
for the destination.
SELinux is preventing $SOURCE_PATH "$ACCESS" access on $TARGET_PATH.
SELinux is preventing $SOURCE_PATH "$ACCESS" access to $TARGET_PATH.
SELinux is preventing $SOURCE_PATH "$ACCESS" access to device $TARGET_PATH.
SELinux is preventing $SOURCE_PATH "$ACCESS" to $TARGET_PATH.
SELinux is preventing $SOURCE_PATH access to a leaked $TARGET_PATH file descriptor.
SELinux is preventing $SOURCE_PATH from binding to port $PORT_NUMBER.
SELinux is preventing $SOURCE_PATH from changing the access
protection of memory on the heap.
SELinux is preventing $SOURCE_PATH from connecting to port $PORT_NUMBER.
SELinux is preventing $SOURCE_PATH from creating a file with a context of $SOURCE_TYPE on a filesystem.
SELinux is preventing $SOURCE_PATH from executing $TARGET_PATH.
SELinux is preventing $SOURCE_PATH from loading $TARGET_PATH which requires text relocation.
SELinux is preventing $SOURCE_PATH from making the program stack executable.
SELinux is preventing $SOURCE_PATH from using potentially mislabeled files $TARGET_PATH.
SELinux is preventing Samba ($SOURCE_PATH) "$ACCESS" access to $TARGET_PATH.
SELinux is preventing access to files with the label, file_t.
SELinux is preventing cvs ($SOURCE_PATH) "$ACCESS" access to $TARGET_PATH
SELinux is preventing firefox from making its memory writable and executable.
SELinux is preventing the $SOURCE_PATH from executing potentially mislabeled files $TARGET_PATH.
SELinux is preventing the $SOURCE_PATH from using potentially mislabeled files ($TARGET_PATH).
SELinux is preventing the ftp daemon from reading users home directories ($TARGET_PATH).
SELinux is preventing the ftp daemon from writing files outside the home directory ($TARGET_PATH).
SELinux is preventing the http daemon from acting as a ftp server.
SELinux is preventing the http daemon from communicating with the terminal.
SELinux is preventing the http daemon from connecting to a database.
SELinux is preventing the http daemon from connecting to itself or the relay ports
SELinux is preventing the http daemon from connecting to network port $PORT_NUMBER
SELinux is preventing the http daemon from executing a shell script
SELinux is preventing the http daemon from executing cgi scripts.
SELinux is preventing the http daemon from reading users' home directories.
SELinux is preventing the http daemon from sending mail.
SELinux is preventing the http daemon from using built-in scripting.
SELinux is preventing the kernel modules from being loaded.
SELinux is preventing the modification of the running policy.
SELinux is preventing the named daemon from writing to the zone directory
SELinux is preventing the nfs daemon from allowing clients to write to public directories.
SELinux is preventing the nfs daemon from allowing remote clients to write local files.
SELinux is preventing the nfs daemon from serving r/o local files to remote clients.
SELinux is preventing the ppp daemon from inserting kernel modules.
SELinux is preventing the samba daemon from allowing remote clients to write local files.
SELinux is preventing the samba daemon from reading nfs file systems.
SELinux is preventing the samba daemon from reading users' home directories.
SELinux is preventing the samba daemon from serving r/o local files to remote clients.
SELinux is preventing the sasl authentication server from reading the /etc/shadow file.
SELinux is preventing the spamd daemon from reading users' home directories.
SELinux is preventing the squid daemon from connecting to network port $PORT_NUMBER
SELinux is preventing the tftp daemon from modify $TARGET_PATH.
SELinux is preventing the users from running TCP servers in the usedomain.
SELinux is preventing the zebra daemon from writing its configuration files
SELinux is preventing xen ($SOURCE_PATH) "$ACCESS" access to $TARGET_PATH.
SELinux permission checks on files labeled file_t are being
denied. file_t is the context the SELinux kernel gives to files
that do not have a label. This indicates a serious labeling
problem. No files on an SELinux box should ever be labeled file_t.
If you have just added a new disk drive to the system you can
relabel it using the restorecon command. Otherwise you should
relabel the entire file system.
SELinux policy is preventing an httpd script from writing to a public
directory.
SELinux policy is preventing an httpd script from writing to a public
directory. If httpd is not setup to write to public directories, this
could signal an intrusion attempt.
SELinux policy is preventing the ftp daemon from writing to a public
directory.
SELinux policy is preventing the ftp daemon from writing to a public
directory. If ftpd is not setup to allow anonymous writes, this
could signal an intrusion attempt.
SELinux policy is preventing the http daemon from writing to a public
directory.
SELinux policy is preventing the http daemon from writing to a public
directory. If httpd is not setup to write to public directories, this
could signal an intrusion attempt.
SELinux policy is preventing the rsync daemon from writing to a public
directory.
SELinux policy is preventing the rsync daemon from writing to a public
directory. If rsync is not setup to allow anonymous writes, this
could signal an intrusion attempt.
SELinux policy is preventing the samba daemon from writing to a public
directory.
SELinux policy is preventing the samba daemon from writing to a public
directory. If samba is not setup to allow anonymous writes, this
could signal an intrusion attempt.
SELinux prevented $SOURCE from $ACCESS files stored in the mail spool directory.
$SOURCE attempted to write one or more files or directories, postfix
ordinarily does not need this access. However it can be setup to allow
this.
If you have not configured $SOURCE to write to the mail spool
this access attempt could signal an intrusion attempt.
SELinux prevented $SOURCE from $ACCESS files stored mail spool directory.
SELinux prevented $SOURCE from $ACCESS files stored on a NFS filesystem.
NFS (Network Filesystem) is a network filesystem commonly used on Unix / Linux
systems.
$SOURCE attempted to read one or more files or directories from
a mounted filesystem of this type. As NFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured $SOURCE to read files from a NFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented $SOURCE from $ACCESS files stored on a NFS filesytem.
SELinux prevented $SOURCE from $ACCESS files stored on a Windows SMB/CIFS (Samba) filesystem.
CIFS is a network filesystem commonly used on Windows systems.
$SOURCE attempted to read one or more files or directories from
a mounted filesystem of this type. As CIFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured $SOURCE to read files from a CIFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented $SOURCE from $ACCESS files stored on a Windows SMB/CIFS (Samba) filesytem.
SELinux prevented $SOURCE from accessing the cron spool file.
SELinux prevented $SOURCE from accessing the cron spool file.
This access is normally needed when using fcron as a cron daemon
(<a href="http://fcron.free.fr/">http://fcron.free.fr</a>). If you are using fcron you should allow this
access. Otherwise this access attempt may signal an intrusion attempt.
SELinux prevented $SOURCE from correctly running as a daemon.
SELinux prevented $SOURCE from correctly running as a daemon.
FTP servers can be configured to either run through xinetd or as a
stand-alone daemon. Each configuration requires slightly different
access. If you have configured your FTP server to run as a daemon
you should allow this access. Otherwise this may signal an intrusion
attempt.
SELinux prevented $SOURCE from mounting a filesystem on the file
or directory "$TARGET_PATH" of type "$TARGET_TYPE". By default
SELinux limits the mounting of filesystems to only some files or
directories (those with types that have the mountpoint attribute). The
type "$TARGET_TYPE" does not have this attribute. You can change the
label of the file or directory.
SELinux prevented $SOURCE from mounting a filesystem on the file
or directory "$TARGET_PATH" of type "$TARGET_TYPE". By default
SELinux limits the mounting of filesystems to only some files or
directories (those with types that have the mountpoint attribute). The
type "$TARGET_TYPE" does not have this attribute. You can either
relabel the file or directory or set the boolean "$BOOLEAN" to true to
allow mounting on any file or directory.
SELinux prevented $SOURCE from mounting on the file or directory
"$TARGET_PATH" (type "$TARGET_TYPE").
SELinux prevented $SOURCE from mounting on the file or directory
"$TARGET_PATH".
SELinux prevented $SOURCE from reading from the urandom device.
SELinux prevented $SOURCE from reading from the urandom device.
This access should be allowed for individual applications, but there
are situations where all applications require the access (for example,
when ProPolice/SSP stack smashing protection is used). Allowing this
access may allow malicious applications to drain the kernel entropy
pool. This can compromise the ability of some software that is
dependent on high quality random numbers (e.g., ssh-keygen) to operate
effectively. The risk of this type of attack is relatively low.
SELinux prevented $SOURCE from using NIS (yp) for
authentication. If you have configured the system to use NIS
this access is expected but is not currently allowed by
SELinux. Otherwise this access may signal an intrusion.
SELinux prevented $SOURCE from using NIS (yp).
SELinux prevented $SOURCE from using kerberos for
authentication. If you have configured the system to use kerberos
this access is expected but is not currently allowed by
SELinux. Otherwise this access may signal an intrusion.
SELinux prevented $SOURCE from using kerberos.
SELinux prevented $SOURCE from writing $TARGET_PATH.
SELinux prevented $SOURCE from writing $TARGET_PATH.
If $TARGET_PATH is a core file, you may want to allow this. If $TARGET_PATH is not a core file, this could signal an intrusion attempt.
SELinux prevented a java plugin ($SOURCE_TYPE) from making the stack executable.
SELinux prevented a mplayer plugin ($SOURCE_TYPE) from making the stack executable.
SELinux prevented httpd $ACCESS access to http files.
SELinux prevented the CVS application from reading the shadow password file.
SELinux prevented the CVS application from reading the shadow password file.
The CVS application requires this access when it is configured for direct
connection (i.e., pserver) and to authenticate to the system password / shadow
files without PAM. It is possible that this access request signals an intrusion
attempt.
It is recommended that CVS be configured to use PAM, authenticate to a separate
user file, or use another protocol (e.g., SSH) instead of allowing this access.
See the CVS manual for more details on why this access is potentially insecure:
(<a href="http://ximbiot.com/cvs/manual/cvs-1.11.22/cvs_2.html">http://ximbiot.com/cvs/manual/cvs-1.11.22/cvs_2.html</a>).
SELinux prevented the ftp daemon from $ACCESS files stored on a CIFS filesystem.
CIFS (Comment Internet File System) is a network filesystem similar to
SMB (<a href="http://www.microsoft.com/mind/1196/cifs.asp">http://www.microsoft.com/mind/1196/cifs.asp</a>)
The ftp daemon attempted to read one or more files or directories from
a mounted filesystem of this type. As CIFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured the ftp daemon to read files from a CIFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented the ftp daemon from $ACCESS files stored on a CIFS filesytem.
SELinux prevented the ftp daemon from $ACCESS files stored on a NFS filesystem.
NFS (Network Filesystem) is a network filesystem commonly used on Unix / Linux
systems.
The ftp daemon attempted to read one or more files or directories from
a mounted filesystem of this type. As NFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured the ftp daemon to read files from a NFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented the ftp daemon from $ACCESS files stored on a NFS filesytem.
SELinux prevented the gss daemon from reading unprivileged user temporary files.
SELinux prevented the http daemon from $ACCESS files stored on a CIFS filesystem.
CIFS (Common Internet File System) is a network filesystem commonly used on Windows / Linux
systems.
The http daemon attempted to read one or more files or directories from
a mounted filesystem of this type. As CIFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured the http daemon to read files from a CIFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented the http daemon from $ACCESS files stored on a CIFS filesytem.
SELinux prevented the http daemon from $ACCESS files stored on a NFS filesystem.
NFS (Network Filesystem) is a network filesystem commonly used on Unix / Linux
systems.
The http daemon attempted to read one or more files or directories from
a mounted filesystem of this type. As NFS filesystems do not support
fine-grained SELinux labeling, all files and directories in the
filesystem will have the same security context.
If you have not configured the http daemon to read files from a NFS filesystem
this access attempt could signal an intrusion attempt.
SELinux prevented the http daemon from $ACCESS files stored on a NFS filesytem.
SELinux prevented the java plugin ($SOURCE_TYPE) from making the stack
executable. An executable stack should not be required by any
software (see <a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
for more information). However, some versions of the Java plugin are known
to require this access to work properly. You should check for updates
to the software before allowing this access.
SELinux prevented the mplayer plugin ($SOURCE_TYPE) from making the stack
executable. An executable stack should not be required by any
software (see <a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
for more information). However, some versions of the mplayer plugin are known
to require this access to work properly. You should check for updates
to the software before allowing this access.
SELinux prevented the tftp daemon from writing to $TARGET_PATH. Usually
tftpd is setup only to read content and is not allowed to modify it. If
you setup tftpd to modify $TARGET_PATH need to change its label. If you
did not setup tftp to modify $TARGET_PATH, this could signal an intrusion attempt.
Sometimes a library is accidentally marked with the execstack flag,
if you find a library with this flag you can clear it with the
execstack -c LIBRARY_PATH. Then retry your application. If the
app continues to not work, you can turn the flag back on with
execstack -s LIBRARY_PATH. Otherwise, if you trust $SOURCE to
run correctly, you can change the context of the executable to
execmem_exec_t. "chcon -t execmem_exec_t
'$SOURCE_PATH'"
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t execmem_exec_t '$SOURCE_PATH'"
The $SOURCE application attempted to change the access protection
of memory (e.g., allocated using malloc). This is a potential
security problem. Firefox is probably not the problem here ,but one of its plugins. You could remove the plugin and the app would no longer require the access. If you figure out which plugin is causing the access request, please open a bug report on the plugin.
The $SOURCE application attempted to change the access protection of memory on
the heap (e.g., allocated using malloc). This is a potential security
problem. Applications should not be doing this. Applications are
sometimes coded incorrectly and request this permission. The
<a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
web page explains how to remove this requirement. If $SOURCE does not work and
you need it to work, you can configure SELinux temporarily to allow
this access until the application is fixed. Please file a bug
report against this package.
The $SOURCE application attempted to load $TARGET_PATH which
requires text relocation. This is a potential security problem.
Most libraries do not need this permission. Libraries are
sometimes coded incorrectly and request this permission. The
<a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
web page explains how to remove this requirement. You can configure
SELinux temporarily to allow $TARGET_PATH to use relocation as a
workaround, until the library is fixed. Please file a
bug report.
The $SOURCE application attempted to load $TARGET_PATH which
requires text relocation. This is a potential security problem.
Most libraries should not need this permission. The
<a href="http://people.redhat.com/drepper/selinux-mem.html">
SELinux Memory Protection Tests</a>
web page explains this check. This tool examined the library and it looks
like it was built correctly. So setroubleshoot can not determine if this
application is compromized or not. This could be a serious issue. Your
system may very well be compromised.
Contact your security administrator and report this issue.
The $SOURCE application attempted to make its stack
executable. This is a potential security problem. This should
never ever be necessary. Stack memory is not executable on most
OSes these days and this will not change. Executable stack memory
is one of the biggest security problems. An execstack error might
in fact be most likely raised by malicious code. Applications are
sometimes coded incorrectly and request this permission. The
<a href="http://people.redhat.com/drepper/selinux-mem.html">SELinux Memory Protection Tests</a>
web page explains how to remove this requirement. If $SOURCE does not
work and you need it to work, you can configure SELinux
temporarily to allow this access until the application is fixed. Please
file a bug report.
Use a command like "cp -P" to preserve all permissions except SELinux context.
You can alter the file context by executing "chcon -t bin_t '$TARGET_PATH'" or
"chcon -t lib_t '$TARGET_PATH'" if it is a shared library. If you want to make these changes permanent you must execute the semanage command.
"semanage fcontext -a -t bin_t '$TARGET_PATH'" or
"semanage fcontext -a -t lib_t '$TARGET_PATH'".
If you feel this executable/shared library is in the wrong location please file a bug against the package that includes the file. If you feel that SELinux should know about this file and label it correctly please file a bug against SELinux policy.
You can alter the file context by executing chcon -R -t cvs_data_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t cvs_data_t '$TARGET_PATH'"
You can alter the file context by executing chcon -R -t rsync_data_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t rsync_data_t '$TARGET_PATH'"
You can alter the file context by executing chcon -R -t samba_share_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t samba_share_t '$TARGET_PATH'"
You can alter the file context by executing chcon -t public_content_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t public_content_t '$TARGET_PATH'"
You can alter the file context by executing chcon -t swapfile_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t swapfile_t '$TARGET_PATH'"
You can alter the file context by executing chcon -t virt_image_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t virt_image_t '$TARGET_PATH'"
You can alter the file context by executing chcon -t xen_image_t '$TARGET_PATH'
You must also change the default file context files on the system in order to preserve them even on a full relabel. "semanage fcontext -a -t xen_image_t '$TARGET_PATH'"
You can execute the following command as root to relabel your
computer system: "touch /.autorelabel; reboot"
You can generate a local policy module to allow this
access - see <a href="http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385">FAQ</a>
You can generate a local policy module to allow this
access - see <a href="http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385">FAQ</a>
Please file a bug report.
You can restore the default system context to this file by executing the
restorecon command. restorecon '$TARGET_PATH', if this file is a directory,
you can recursively restore using restorecon -R '$TARGET_PATH'.
Your system may be seriously compromised!
Your system may be seriously compromised! $SOURCE_PATH attempted to mmap low kernel memory.
Your system may be seriously compromised! $SOURCE_PATH tried to load a kernel module.
Your system may be seriously compromised! $SOURCE_PATH tried to modify SELinux enforcement.
Your system may be seriously compromised! $SOURCE_PATH tried to modify kernel configuration.
If you decide to continue to run the program in question you will need
to allow this operation. This can be done on the command line by
executing:
# setsebool -P mmap_low_allowed 1
SELinux denied an operation requested by wine-preloader, a program used
to run Windows applications under Linux. This program is known to use
an unsafe operation on system memory but so are a number of
malware/exploit programs which masquerade as wine. If you were
attempting to run a Windows program your only choices are to allow this
operation and reduce your system security against such malware or to
refrain from running Windows applications under Linux. If you were not
attempting to run a Windows application this indicates you are likely
being attacked by some for of malware or program trying to exploit your
system for nefarious purposes.
Please refer to
http://wiki.winehq.org/PreloaderPageZeroProblem
Which outlines the other problems wine encounters due to its unsafe use
of memory and solutions to those problems.
There are two ways to fix this problem, you can install the nsspluginwrapper package, which will cause firefox to run its plugins under a separate process. This process will allow the execmem access. This is the safest choice. You could also turn off the allow_unconfined_nsplugin_transition boolean.
<br>
setsebool -P allow_unconfined_nsplugin_transition=0
</br>
If you want the http daemon to listen on the ftp port, you need to
enable the $BOOLEAN boolean: "setsebool -P $BOOLEAN=1"
Changing the "$BOOLEAN" and
"$WRITE_BOOLEAN" booleans to true will allow this access:
"setsebool -P $BOOLEAN=1 $WRITE_BOOLEAN=1".
warning: setting the "$WRITE_BOOLEAN" boolean to true will
allow the ftp daemon to write to all public content (files and
directories with type public_content_t) in addition to writing to
files and directories on CIFS filesystems. Changing the "allow_ftpd_use_nfs" and
"$WRITE_BOOLEAN" booleans to true will allow this access:
"setsebool -P allow_ftpd_use_nfs=1 $WRITE_BOOLEAN=1".
warning: setting the "$WRITE_BOOLEAN" boolean to true will
allow the ftp daemon to write to all public content (files and
directories with type public_content_t) in addition to writing to
files and directories on NFS filesystems. <br><br>Boolean Description:<br>%s<br><br> Authorization CRON CVS Choose one of the following to allow access:<br> Domain Name Service FTP File Label File System Java Kernel Mail Media Memory Network Ports Networking One of the following booleans is set incorrectly: <b>%s</b> RSYNC Restore Context SAMBA SELinux is preventing $SOURCE_PATH "$ACCESS" access SELinux prevented the gss daemon from
reading unprivileged user temporary files (e.g., files in /tmp). Allowing this
access is low risk, but if you have not configured the gss daemon to
read these files this access request could signal an intrusion
attempt. TFTP The boolean <b>%s</b> is set incorrectly. Turn off memory protection Web Server Zebra Project-Id-Version: ru
Report-Msgid-Bugs-To:
POT-Creation-Date: 2009-10-26 10:05-0400
PO-Revision-Date: 2009-10-12 23:00+0400
Last-Translator: Yulia Poyarkova <yulia.poyarkova@redhat.com>
Language-Team: Russian <fedora-trans-ru@redhat.com>
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
X-Generator: KBabel 1.11.4
SELinux отклонила запрос на доступ от $SOURCE. Такой запрос не
ожидается от $SOURCE, он может свидетельствовать о
попытке вторжения. Также возможно, что отдельные
версии или конфигурации приложения потребуют дополнительный
доступ.
SELinux отклонила запрос доступа от $SOURCE. Текущие настройки
логических переменных не разрешают доступ. Такой запрос не
ожидается от $SOURCE и может свидетельствовать о
попытке вторжения. Если же вы действительно хотите разрешить доступ,
потребуется изменить соответствующие логические переменные.
SELinux запретила $SOURCE доступ "$ACCESS" к устройству $TARGET_PATH.
$TARGET_PATH отмечено неверно и имеет стандартную метку каталога /dev.
Все символьные и блочные устройства должны иметь метку.
Можно попробовать изменить метку, выполнив команду
restorecon -v '$TARGET_PATH'.
Если устройство по прежнему отмечено как device_t, это означает ошибку в политике SELinux.
Тогда, пожалуйста, создайте запрос в Bugzilla.
Если вы просмотрите метки схожих устройств с помощью команды ls -lZ /dev/SIMILAR и найдете тип, который подходит $TARGET_PATH,
можно выполнить chcon -t SIMILAR_TYPE '$TARGET_PATH'.
Если это поможет, сохраните изменения:
semanage fcontext -a -t SIMILAR_TYPE '$TARGET_PATH'
Если restorecon изменяет контекст, это означает, что приложение, создавшее устройство, не использовало
SELinux API. Если вы знаете, какое приложение создало это устройство, пожалуйста, создайте запрос в Bugzilla для этого приложения.
Попробуйте выполнить "restorecon -v $TARGET_PATH" или "chcon -t SIMILAR_TYPE '$TARGET_PATH'"
Установка логического значения "$BOOLEAN" в TRUE разрешит доступ:
"setsebool -P $BOOLEAN=1"
Установка логического значения "$BOOLEAN" в TRUE разрешит доступ:
"setsebool -P $BOOLEAN=1"
Установка логического значения "allow_ftpd_use_nfs" в TRUE разрешит доступ:
"setsebool -P allow_ftpd_use_nfs=1."
Замена file_context на mnt_t позволит монтировать файловую систему:
"chcon -t mnt_t '$TARGET_PATH'."
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t mnt_t '$TARGET_PATH'"
Ограничиваемые процессы можно настроить так, чтобы они выполнялись с различными уровнями доступа. При этом доступ можно разрешать и запрещать с помощью логических переменных SELinux.
Для разрешения ftp выполнения записи в этот каталог необходимо
установить значение $BOOLEAN и заменить контекст общего
каталога на public_content_rw_t. За подробной информацией обратитесь к
странице помощи rsync_selinux:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <путь>"
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t public_content_rw_t <путь>"
Для разрешения сценариям httpd выполнения записи в общие каталоги
необходимо установить значение $BOOLEAN и заменить контекст общего
каталога на public_content_rw_t. За подробной информацией обратитесь к
странице помощи httpd_selinux:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <путь>"
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t public_content_rw_t <путь>"
Для разрешения httpd выполнения записи в этот каталог необходимо
установить значение $BOOLEAN и заменить контекст общего каталога
на public_content_rw_t. За подробной информацией обратитесь к
странице помощи httpd_selinux:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <путь>"
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t public_content_rw_t <путь>"
Чтобы разрешить samba выполнять запись в этот каталог, необходимо
установить значение $BOOLEAN и изменить контекст общего
каталога на public_content_rw_t. За подробной информацией обратитесь к
странице помощи samba_selinux:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <путь>"
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t public_content_rw_t <path>"
Для разрешения демону ftp выполнять запись в эту папку необходимо
установить логическую переменную $BOOLEAN и заменить контекст общей
папки на public_content_rw_t. За подробной информацией обратитесь к
странице помощи ftpd_selinux:
"setsebool -P $BOOLEAN=1; chcon -t public_content_rw_t <путь>"
Также потребуется изменить стандартные файлы контекстов,
чтобы предотвратить их разметку.
"semanage fcontext -a -t public_content_rw_t <путь>"
Если вы разрешаете управление модулями ядра на вашей машине,
измените значение $BOOLEAN:
"setsebool -P $BOOLEAN=0".
Если вы создали каталог на уровне / и хотите разрешить $SOURCE использовать файлы,
потребуется изменить метки следующим образом: <b># semanage fcontext -t FILE_TYPE '$TARGET_PATH%s' </b>
<br>где FILE_TYPE может принимать значение: %s.
<br><b># restorecon -v $TARGET_PATH</b>
<br><br>Если $TARGET_PATH не расположен в /, то может потребоваться выполнить повторную разметку:
<br><b>"touch /.autorelabel; reboot"</b>
Чтобы разрешить демону ftp осуществлять запись в файлы где угодно в системе,
нужно установить логическое значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Если вы доверяете $TARGET_PATH, то можно заменить контекст
файла на textrel_shlib_t. "chcon -t textrel_shlib_t
$TARGET_PATH"
Также необходимо изменить контексты файлов в системе, используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t textrel_shlib_t '$TARGET_PATH'"
Для разрешения доступа $SOURCE к этим файлам
необходимо выполнить их перемаркировку с помощью команды
"restorecon -v '$TARGET_PATH'".
Чтобы перемаркировать весь каталог, выполните
"restorecon -R -v '$TARGET_DIR'".
Для продолжения $SOURCE необходимо активировать
логическую переменную $BOOLEAN. Замечание: Ее значение окажет
влияние на все приложения системы.
Если вы хотите, чтобы ftp разрешал доступ пользователей
к своим домашним каталогам, установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Для разрешения подключения демона httpd к базе данных
установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Если вы хотите, чтобы httpd мог запускать определенный сценарий оболочки,
нужно отметить его, выполнив
"chcon -t httpd_sys_script_exec_t SCRIPTFILE".
Если вы хотите разрешить httpd выполнять любые сценарии оболочки,
установите значение $BOOLEAN :
"setsebool -P $BOOLEAN=1"
Для разрешения демону httpd запускать сценарии cgi
установите переменную $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Для разрешения подключения демона httpd к портам httpd/ftp
установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Для разрешения подключения демона httpd к сетевым портам
установите булеву переменную $BOOLEAN: "setsebool -P
$BOOLEAN=1"
Для разрешения отправки почты демоном httpd
установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Если вы хотите, чтобы named запускался как вторичный сервер, и включить
передачи зон, нужно установить значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Если вы хотите, чтобы ppp мог вставлять модули ядра, нужно
установить значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Если вы хотите, чтобы доступ к домашним каталогам был открыт,
установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Для разрешения совместного использования файловых систем nfs
необходимо установить значение $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Если вы хотите открыть доступ spamd к домашним каталогам,
установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Если вы хотите, чтобы squid работал с сетевыми портами,
установите значение $BOOLEAN
"setsebool -P $BOOLEAN=1"
Для разрешения доступа к терминалу демона http
установите переменную $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Для разрешения демону http открыть совместный доступ
к домашним каталогам установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Для разрешения демону http использовать встроенные сценарии
установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Для разрешения чтения файла /etc/shadow демоном аутентификации sasl
установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Если вы хотите разрешить сопоставление $SOURCE порту $PORT_NUMBER, выполните команду<br>
<b># semanage port -a -t PORT_TYPE -p %s $PORT_NUMBER</b>
<br>где PORT_TYPE может принимать значение: %s.
<br><br>Если система выполняет роль клиента NIS, то можно попробовать установить логическое значение allow_ypbind:
"setsebool -P allow_ypbind=1".
Если вы хотите разрешить сопоставление $SOURCE этому порту,
выполните команду:
"semanage port -a -t inetd_child_port_t -p PROTOCOL $PORT_NUMBER"
где PROTOCOL может принимать значение tcp или udp.
Если вы хотите разрешить подключение $SOURCE к порту $PORT_NUMBER, выполните команду<br>
<b>semanage port -a -t PORT_TYPE -p %s $PORT_NUMBER
</b>
<br>где PORT_TYPE может принимать значение: %s.
Если вы хотите разрешить $SOURCE исполнять $TARGET_PATH, выполните
"chcon -t bin_t '$TARGET_PATH'"
Если это помогло, обновите файловый контекст на диске:
"semanage fcontext -a -t bin_t '$TARGET_PATH'"
При этом укажите полный путь к исполняемому компоненту.
Также создайте запрос в Bugzilla.
Если вы хотите разрешить пользователям запускать свои программы в качестве серверов TCP,
установите флаг user_tcp_server:
"setsebool -P $BOOLEAN=1"
Чтобы разрешить демону zebra перезаписывать конфигурацию,
установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Если вы хотите изменить контекст файла $TARGET_PATH с целью разрешения его исполнения автомонтировщиком, используйте команду "chcon -t bin_t $TARGET_PATH". Если вы хотите сохранить существующие метки, следует изменить файловый контекст насовсем: "semanage fcontext -a -t bin_t $TARGET_PATH".
Если вы хотите изменить контекст файла $TARGET_PATH с целью
разрешения к нему доступа демона httpd, запустите его с помощью
"semanage fcontext -a -t FILE_TYPE '$TARGET_PATH'".
<br><br>где FILE_TYPE может принимать значение: %s.
Более подробная информация может быть найдена на странице
помощи httpd_selinux.
Если вы хотите изменить контекст файла $TARGET_PATH с целью
разрешения записи для демона tftp, выполните
<b># semanage fcontext -m tftpdir_rw_t '/tftpboot(/.*)?'</b>
<br><b># restorecon -R -v /tftpboot</b></br>
Для разрешения экспорта общих файловых систем через nfs
необходимо установить значение $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Для разрешения экспортирования файловых систем через nfs
необходимо установить значение $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Для разрешения экспортирования файловых систем с использованием samba
необходимо установить значение $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Для разрешения экспортирования файловых систем через nfs с поддержкой записи
необходимо установить значение $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Для разрешения экспортирования файловых систем с возможностью записи, используя samba, необходимо установить значение $BOOLEAN:
"setsebool -P $BOOLEAN=1".
Если вы хотите изменить способ работы SELinux,
вам нужно перейти в однопользовательский режим с принудительным
выключением. Измените значение secure_mode_policyload:
"setsebool -P secure_mode_policyload=0".
SELinux запретила $SOURCE обращаться к $TARGET_PATH.
Если это файл подкачки, то он должен иметь метку
swapfile_t. Если вы не собирались использовать
$TARGET_PATH как файл подкачки, возможно, это ошибка или
попытка вторжения.
Политика SELinux запретила доступ по запросу $SOURCE.
Возможно, разметка $TARGET_PATH некорректна.
Стандартный тип SELinux для $TARGET_PATH имеет значение <B>$MATCHTYPE</B>,
но в настоящее время тип — <B>$TARGET_TYPE</B>.
Изменение типа на стандартный может исправить проблему.
<p>
Существует несколько способов назначения контекста файлу.
<ul>
<li>Создаваемые в каталоге файлы по умолчанию будут наследовать контекст каталога.
<li>Политика SELinux может переопределять стандартные метки, унаследованные от
родительского каталога. Так, процесс с контекстом X, который
создает файл в каталоге, отмеченном как Y, на самом деле создаст файл с меткой Z.
Примером может служить клиент dhcp с типом dhclient_t, который создает файлы в каталоге /etc.
Обычно эти файлы наследуют тип etc_t родительского каталога, но в данном случае
он будет отмечен как net_conf_t согласно настройкам SELinux.
<li>Пользователи могут изменить файловый контекст с помощью chcon или restorecon.
</ul>
Возможно, этот файл был отмечен неверно по ошибке или он является ограничиваемым приложением,
выполняющимся в неверном домене.
<p>
Но это также может служить индикатором ошибки SELinux, поскольку файл не должен был быть так отмечен.
<p>
Если вы думаете, что это ошибка, создайте запрос в Bugzilla
для этого пакета.
SELinux запретила запрос доступа, полученный от команды $SOURCE. Вероятна утечка дескриптора или, возможно, вывод $SOURCE был перенаправлен в файл, к которому у нее нет доступа. Утечки обычно можно игнорировать, так как SELinux просто их закрывает и сообщает об ошибке. Приложение не использует дескриптор, поэтому его работа нарушена не будет. Если же причиной является перенаправление, $TARGET_PATH не будет содержать вывод. В этом случае создайте запрос в Bugzilla для компонента selinux-policy.
SELinux запретила доступ к $TARGET_PATH по запросу $SOURCE.
$TARGET_PATH имеет контекст, совместно используемый другими приложениями. Если
вы хотите использовать $TARGET_PATH с $SOURCE, то вам нужно
изменить его контекст на public_content_t. Если вы не планировали такой вариант,
возможно, это попытка вторжения.
SELinux запретила доступ cvs к $TARGET_PATH.
Если это репозиторий CVS, он должен иметь контекст
cvs_data_t. Если вы не используете $TARGET_PATH как репозиторий CVS,
возможно, это ошибка или попытка вторжения.
SELinux запретила программе prelink доступ $ACCESS к $TARGET_PATH.
Программа prelink имеет право работать только с файлами, отмеченными
SELinux как исполняемые или общие библиотеки. Библиотеки в каталогах
lib будут отмечены как общие библиотеки по умолчанию. Точно так же исполняемые файлы,
находящиеся в bin или sbin, отмечены как исполняемые. Если эти файлы установлены в другие каталоги,
они могут быть отмечены неправильно. Попытка prelink работать с файлом, не являющимся
исполняемым компонентом или общей библиотекой, может служить индикатором попытки вторжения.
SELinux запретила доступ qemu к $TARGET_PATH.
Если это образ виртуализации, он должен иметь метку virt_image_t.
Система настроена так, чтобы файлы образов в каталоге /var/lib/libvirt/images
отмечались корректно. Рекомендуем скопировать образ в этот каталог.
Если вы действительно хотите работать с образами qemu в выбранном вами каталоге,
вы можете изменить метку $TARGET_PATH на virt_image_t,
используя chcon. После этого вам понадобится также выполнить команду
"semanage fcontext -a -t virt_image_t '$TARGET_PATH'",
чтобы добавить новый путь в системный список. Если вы не планировали использовать
$TARGET_PATH как образ qemu, возможно, это ошибка или попытка вторжения.
SELinux закрыла доступ qemu к $TARGET_PATH.
Если это образ виртуализации, он должен иметь метку virt_image_t.
Можно изменить метку $TARGET_PATH на virt_image_t с помощью chcon.
Также выполните команду
"semanage fcontext -a -t virt_image_t '$TARGET_PATH'"
для добавления нового пути в системный список стандартных путей.
Если вы не планировали использовать
$TARGET_PATH как образ qemu, возможно, это ошибка или попытка вторжения.
SELinux запретила доступ rsync к $TARGET_PATH.
Если это репозиторий RSYNC, он должен иметь контекст
rsync_data_t. Если вы не используете $TARGET_PATH как репозиторий rsync,
это может служить индикатором ошибки или попытки вторжения.
SELinux закрыла доступ xen к $TARGET_PATH.
Если это образ XEN, он должен иметь метку контекста
xen_image_t. Система настроена так, чтобы файлы образов в каталоге /var/lib/xen/images
отмечались корректно. Рекомендуем скопировать образ в этот каталог.
Если вы действительно хотите работать с образами xen в выбранном вами каталоге,
вы можете изменить метку $TARGET_PATH на xen_image_t,
используя chcon. После этого понадобится также выполнить команду
"semanage fcontext -a -t xen_image_t '$TARGET_PATH'", чтобы добавить новый путь
в системный список. Если вы не планировали использовать
$TARGET_PATH как образ xen, возможно, это ошибка или попытка вторжения.
SELinux закрыла $SOURCE доступ к потенциально неверно отмеченным
файлам ($TARGET_PATH). Это значит, что SELinux не позволит
$SOURCE использовать эти файлы. Обычно пользователи редактируют свои файлы
в домашнем или временном каталоге, а затем перемещают их в системные каталоги
(с помощью команды mv). Проблема в том, что файлы получают в результате
неправильный контекст, к которому приложения не могут получить доступ .
SELinux запретила $SOURCE подключаться к сетевому порту $PORT_NUMBER, для которого не определен тип SELinux.
Если $SOURCE должен иметь возможность подключения к этому порту, можно использовать команду <i>semanage</i> для сопоставления этому порту типа, к которому $SOURCE_TYPE может подключаться (%s).
<br><br>Если $SOURCE не должен
подключаться этому порту, это может служить индикатором попытки вторжения.
SELinux запретила утилитам модулей ядра изменять модули
ядра. Для обеспечения защиты этой машины модификация модулей
запрещена, за исключением однопользовательского режима. Если вы не занимались
настройкой модулей ядра, это может служить индикатором попытки вторжения.
SELinux закрыла $SOURCE доступ к потенциально неверно отмеченным файлам
$TARGET_PATH. Это значит, что SELinux не позволит
httpd использовать эти файлы. Чтобы разрешить доступ httpd к этим файлам,
измените контекст на один из следующих типов: %s.
Многие приложения сторонних производителей устанавливают html
файлы в каталоги, которые политика SELinux не может предугадать.
Этим каталогам надо присвоить контекст, к которому httpd имеет доступ.
SELinux запретила $SOURCE подключаться сетевому порту $PORT_NUMBER, которому не присвоен тип SELinux.
Если $SOURCE должен иметь возможность подключения к этому порту, вы можете использовать команду semanage для добавления этого порта к типу inetd_child_port_t. Если вы уверены, что доступ разрешен по умолчанию, создайте запрос в Bugzilla для пакета selinux-policy.
Если $SOURCE не должен
соответствовать этому порту, возможно, имеет место попытка вторжения.
SELinux запретила $SOURCE подключаться к сетевому порту $PORT_NUMBER, которому не присвоен тип SELinux.
Если $SOURCE должен иметь возможность прослушивания этого порта, можно использовать команду <i>semanage</i> для сопоставления этому порту типа, к которому $SOURCE_TYPE может подключаться (%s).
<br><br>Если $SOURCE не должен
соответствовать этому порту, это может служить индикатором попытки вторжения.
SELinux запретила $SOURCE исполнить $TARGET_PATH.
Если $SOURCE должен исполнять $TARGET_PATH, причиной может служить проблема с метками. В основном, ограничиваемым доменам разрешается исполнять файлы с меткой bin_t. Поэтому попробуйте отметить файл как bin_t и повторите попытку. Если $SOURCE не должен исполнять $TARGET_PATH, то это может служить индикатором попытки вторжения.
SELinux запретила сопоставление $SOURCE сетевому порту $PORT_NUMBER, для которого не определен тип SELinux.
Для $SOURCE не определена политика SELinux, поэтому он будет запущен
в пользовательском домене.
Сейчас настройки SELinux запрещают исполнение серверов TCP в пользовательском домене. Если программа $SOURCE не должна
привязываться к сетевому порту, это может служить индикатором попытки вторжения.
Если данная система работает как NIS клиент,
установка флага allow_ypbind может решить проблему:
"setsebool -P allow_ypbind=1".
SELinux запретила $SOURCE создавать соответствия mmap в начальном
диапазоне адресного пространства ядра.
Возможность такого сопоставления настраивается /proc/sys/kernel/mmap_min_addr.
Запрет сопоставлений помогает предотвратить несанкционированное использование ошибок null deref в ядре.
Для всех приложений, которым необходим такой уровень доступа,
должна существовать отдельная политика.
Если скомпрометированное приложение попытается модифицировать ядро,
будет сгенерировано AVC.
Это является серьезной проблемой и может служить индикатором того,
что ваша система могла быть скомпрометирована.
SELinux запретила $SOURCE исполнять потенциально неверно отмеченные файлы $TARGET_PATH. Автомонтировщик может быть настроен на
исполнение конфигурационных файлов. Если $TARGET_PATH является
исполняемым конфигурационным файлом automount, он должен иметь метку bin_t.
Если автомонтировщик пытается выполнить что-то, что он не должен выполнять,
это может служить индикатором попытки вторжения.
SELinux запретила демону прооткола Point-to-Point
добавить модуль ядра. Если pppd не настроен на добавление
модулей ядра, это может служить индикатором попытки вторжения.
SELinux закрыла доступ демону ftp к домашним каталогам пользователей
($TARGET_PATH). Кто-то пытается зайти через
демон ftp. Если вы не разрешали анонимный ftp доступ,
это может служить индикатором попытки вторжения.
SELinux запретила демону ftp запись за пределами домашнего каталога
($TARGET_PATH). Кто-то зашел через ваш ftp демон и пытается создать
или изменить файл. Возможно, это попытка вторжения.
SELinux закрыла демону http доступ к домашним каталогам пользователей.
Кто-то пытается получить доступ к ним через демон http.
Если вы не определяли специальных настроек httpd,
это может служить индикатором попытки вторжения.
SELinux запретила подключение демона http к $PORT_NUMBER.
Сценарий httpd пытается подключиться к удаленному порту.
Если httpd не настроен на разрешение сетевых соединений,
это может служить индикатором попытки вторжения.
SELinux запретила подключение демона http к базе данных.
Сценарий httpd пытается подключиться к порту БД.
Если httpd не настроен на разрешение подключений к БД,
это может служить индикатором попытки вторжения.
SELinux запретила подключение демона http к самому себе или портам
ретрансляции. Сценарий httpd пытается подключиться по сети к порту
http/ftp. Если httpd не настроен на разрешение сетевых соединений,
это может служить индикатором попытки вторжения.
SELinux запретила демону http выполнять сценарии cgi.
В режиме блокировки httpd запрещает запускать сценарии cgi.
Если сервер httpd не разрешает выполнять сценарии cgi,
это может служить индикатором попытки вторжения.
SELinux запретила демону http исполнять сценарий оболочки.
Обычно httpd требует, чтобы все сценарии (CGI) были
отмечены как httpd_sys_script_exec_t. Если httpd не должен запускать
сценарий оболочки, это может служить индикатором попытки вторжения.
SELinux запретила демону http прослушивать ftp-порт на предмет
входящих соединений. Это означает, что SELinux не позволит
выполнение httpd в качестве сервера ftp. Если httpd не настроен
на работу в качестве сервера ftp, это может служить индикатором
попытки вторжения.
SELinux запретила отправку почты демоном http.
Сценарий httpd пытается подключиться к почтовому порту или выполнить
команду sendmail. Если httpd не настроен на использование sendmail,
это может служить индикатором попытки вторжения.
SELinux запретила демону http использовать встроенные средства
исполнения сценариев. Это значит, что SELinux не позволит httpd использовать
загружаемые модули для внутреннего исполнения сценариев. Если вы это
не настраивали, это может означать попытку вторжения.
SELinux запретила инструментам управления изменять
способ работы политики SELinux. Эта машина достаточно сильно защищена,
поэтому если вы не выполняли утилиты SELinux,
это может служить индикатором попытки вторжения.
SELinux запретила демону named запись в файлы зон.
Обычно named не требует такой возможности.
Только вторичным серверам может понадобиться осуществлять запись в
эти каталоги. Если эта машина не является вторичным сервером,
это может служить индикатором попытки вторжения.
SELinux закрыла доступ демону samba к файловым системам nfs.
Кто-то пытается получить доступ к этим разделам
с помощью демона samba. Если вы не настраивали samba на работу с nfs,
это может служить индикатором попытки вторжения.
SELinux запретила демону samba доступ к домашним каталогам
пользователей. Кто-то пытается получить доступ к ним
через демон samba. Если вы не настраивали samba на работу с домашними
каталогами, возможно, это попытка вторжения.
За дополнительной информацией об интеграции SELinux и samba обратитесь к
странице помощи samba_selinux (man samba_selinux)
SELinux запретила чтение файла /etc/shadow демоном аутентификации
sasl. Если демон saslauthd не настроен на обращение к /etc/shadow,
это может служить индикатором попытки вторжения.
SELinux закрыла доступ демону spamd к домашним каталогам
пользователей. Кто-то пытается получить доступ к ним
с помощью демона spamd. Если вы не настраивали spamd на работу с этими
каталогами, это может служить индикатором попытки вторжения.
SELinux запретила демону squid подключаться к порту
$PORT_NUMBER. По умолчанию политика squid настроена на запрет squid
подключений. Если вы не настраивали сетевые соединения для squid,
это может служить индикатором попытки вторжения.
SELinux запретила демону zebra выполнять запись его файлов
конфигурации. Обычно нет необходимости в записи этих файлов.
Если настройки zebra не разрешают запись файлов конфигурации,
это может служить индикатором попытки вторжения.
SELinux запретила $SOURCE загружать модуль ядра.
Для всех приложений, которым необходим такой уровень доступа,
должна существовать отдельная политика.
Если скомпрометированное приложение попытается изменить модуль,
будет сгенерировано AVC.
Это является серьезной проблемой и может служить индикатором того,
что ваша система могла быть скомпрометирована.
SELinux запретила $SOURCE модифицировать $TARGET.
$SOURCE пытался изменить конфигурацию политики selinux.
Для всех приложений, которым необходим такой уровень доступа,
должна существовать отдельная политика.
Если скомпрометированное приложение попытается изменить политику,
будет сгенерировано AVC.
Это является серьезной проблемой и может служить индикатором того,
что ваша система могла быть скомпрометирована.
SELinux запретила $SOURCE изменять $TARGET.
$SOURCE пытался изменить поведение ядра или вставить код в ядро.
Для всех приложений, которым необходим такой уровень доступа,
должна существовать отдельная политика.
Если скомпрометированное приложение попытается модифицировать ядро,
будет сгенерировано AVC.
Это является серьезной проблемой и может служить индикатором того,
что ваша система могла быть скомпрометирована.
SELinux запретила $SOURCE записывать в файл, расположенный в каталоге /selinux.
Файлы в /selinux управляют настройками политики SELinux.
Для всех приложений, которым необходим такой уровень доступа,
должна существовать отдельная политика.
Если скомпрометированное приложение попытается отключить политику,
будет сгенерировано AVC.
Это является серьезной проблемой и может служить индикатором того,
что ваша система могла быть скомпрометирована.
SELinux предовтратила выполнение программой wine небезопасной операции с памятью.
SELinux запретила чтение демоном nfs (nfsd) файлов
в локальной системе. Если вы не экспортируете файловые системы,
это может служить индикатором попытки вторжения.
SELinux запретила демону nfs (nfsd) записывать файлы в локальной системе. Если вы не экспортируете файловые системы (rw), возможно, имеет место попытка вторжения.
SELinux запретила демону nfs (nfsd) осуществлять запись в
каталоги, отмеченные как общие. Обычно их совместно
используют сетевые демоны (nfs, apache, ftp
и т.д.). Если вы не открывали общие каталоги для
записи, это может служить индикатором попытки вторжения.
SELinux запрещает демону samba (smbd) выполнять чтение файлов в локальной системе.
Если вы не экспортируете файловые системы, это может служить индикатором вторжения.
SELinux запрещает демону samba (smbd) записывать файлы в локальной системе. Если вы не экспортируете файловые системы, это может служить индикатором попытки вторжения.
SELinux не разрешает демону http использовать терминал.
Большинство демонов не нуждается в терминале.
httpd может быть настроен так, что ему будет необходим доступ
в процессе загрузки. Если вы не определяли настроек httpd
для доступа к терминалу, это может свидетельствовать о
попытке вторжения.
SELinux запрещает $SOURCE доступ "$ACCESS" к файлам с меткой default_t.
Всем заново созданным в корневом дереве / каталогам присваивается стандартная метка default_t.
Ограничиваемым приложениям не разрешается обращаться к файлам default_t.
Это может быть результатом проблемы маркировки, особенно если эти файлы
не являются каталогами верхнего уровня.
Файлы и каталоги из стандартных системных каталогов /usr,
/var, /dev, /tmp и т.п. не должны иметь метку default_t.
При создании новых каталогов в / им будет присвоена эта метка.
SELinux запретила $SOURCE создавать файлы с контекстом $SOURCE_TYPE в файловой системе.
Обычно это происходит, когда вы используете команду cp для сохранения контекста файла при
копировании (например, "cp -a"). Не все файловые контексты должны сохранять постоянство в разных файловых системах.
Например, такой тип файлов только для чтения как iso9660_t не должен использоваться в
системах, допускающих запись. Команда "cp -P" может оказаться более удачным решением, так как она адаптирует
файловый контекст в зависимости от назначения.
SELinux запрещает $SOURCE_PATH доступ "$ACCESS" к устройству $TARGET_PATH.
SELinux запрещает $SOURCE_PATH доступ "$ACCESS" к $TARGET_PATH.
SELinux запрещает $SOURCE_PATH доступ "$ACCESS" к устройству $TARGET_PATH.
SELinux запрещает $SOURCE_PATH доступ "$ACCESS" к $TARGET_PATH.
SELinux запрещает $SOURCE_PATH доступ к дескриптору файла $TARGET_PATH (возможна утечка).
SELinux предотвращает сопоставление $SOURCE_PATH порту $PORT_NUMBER.
SELinux запрещает $SOURCE_PATH изменять
защиту доступа памяти кучи.
SELinux предотвращает подключение $SOURCE_PATH к порту $PORT_NUMBER.
SELinux запрещает $SOURCE_PATH создавать в файловой системе файл с контекстом $SOURCE_TYPE.
SELinux запрещает $SOURCE_PATH исполнять $TARGET_PATH.
SELinux запрещает $SOURCE_PATH загружать $TARGET_PATH.
Загрузка $TARGET_PATH требует перемещения текста.
SELinux запрещает $SOURCE_PATH определять программный стек как исполняемый.
SELinux запрещает $SOURCE_PATH использовать потенциально неверно отмеченные файлы $TARGET_PATH.
SELinux запрещает Samba ($SOURCE_PATH) получить доступ "$ACCESS" к $TARGET_PATH.
SELinux предотвращает доступ к файлам с меткой file_t.
SELinux запрещает cvs ($SOURCE_PATH) доступ "$ACCESS" к $TARGET_PATH.
SELinux запрещает Firefox осуществлять запись в память и исполнять код.
SELinux запрещает $SOURCE_PATH использовать потенциально неверно размеченные файлы $TARGET_PATH.
SELinux запрещает $SOURCE_PATH использовать потенциально неверно размеченные файлы ($TARGET_PATH).
SELinux предотвращает чтение домашних каталогов пользователей ($TARGET_PATH) демоном ftp.
SELinux запрещает демону ftp записывать файлы за пределами домашнего каталога ($TARGET_PATH).
SELinux предотвращает выполнение демона http в качестве сервера ftp.
SELinux предотвращает обращение демона http к терминалу.
SELinux предотвращает подключение демона http к базе данных.
SELinux предотвращает подключение демона http к самому себе или к портам ретрансляции
SELinux предотвращает подключение демона http к сетевому порту $PORT_NUMBER
SELinux предотвращает запуск сценария командной строки демоном http.
SELinux предотвращает запуск сценариев cgi демоном http.
SELinux запрещает демону http читать домашние каталоги пользователей.
SELinux предотвращает отправление почты демоном http.
SELinux предотвращает использование встроенных сценариев
демоном http.
SELinux запрещает загрузку модулей ядра.
SELinux запрещает изменение текущей политики.
SELinux предотвращает запись демоном named в каталог зоны
SELinux запрещает демону nfs предоставлять клиентам разрешения записи в общие каталоги.
SELinux запрещает демону nfs разрешать удаленным клиентам изменять локальные файлы.
SELinux запрещает демону nfs предоставлять удаленным клиентам локальные файлы, доступные только для чтения.
SELinux запрещает демону ppp добавлять модули ядра.
SELinux запрещает демону samba позволять удаленным клиентам осуществлять запись в локальные файлы.
SELinux запрещает демону samba читать файловые системы nfs.
SELinux запрещает демону samba читать домашние каталоги пользователей.
SELinux запрещает демону samba предоставлять удаленным клиентам открытые только для чтения локальные файлы.
SELinux предотвращает чтение файла /etc/shadow сервером аутентификации sasl.
SELinux запрещает демону spamd читать домашние каталоги пользователей.
SELinux блокирует доступ демона squid к сетевому порту $PORT_NUMBER
SELinux предотвращает изменение $TARGET_PATH демоном tftp.
SELinux запрещает пользователям запускать серверы TCP в пользовательском домене.
SELinux предотвращает запись демоном zebra своих файлов конфигурации.
SELinux запрещает xen ($SOURCE_PATH) доступ "$ACCESS" к $TARGET_PATH.
Попытки SELinux проверить файлы с метками file_t не разрешаются.
Контекст file_t назначается файлам ядром SELinux, если они
не имеют меток. Это серьезная проблема маркирования.
Файлы не должны иметь меток file_t.
Если вы добавили новый диск, вы можете промаркировать его
командой restorecon. Иначе вам придется повторно разметить всю файловую
систему.
Политика SELinux предотвращает выполнение записи сценарием
httpd в общий каталог.
Политика SELinux предотвращает выполнение записи в общий каталог
сценарием httpd. Если httpd не настроен на запись в общие каталоги,
это может служить индикатором попытки вторжения.
Политика SELinux предотвращает выполнение демоном ftp
записи в общую папку.
Политика SELinux предотвращает выполнение демоном ftp
записи в общую папку. Если настройки ftpd не разрешают анонимную запись,
это может служить индикатором попытки вторжения.
Политика SELinux предотвращает выполнение записи в общий каталог
демоном http.
Политика SELinux запрещает выполнение записи в общий каталог
демоном httpd. Если httpd не настроен на запись в общие каталоги,
это может служить индикатором попытки вторжения.
Политика SELinux предотвращает запись в общий каталог
демоном rsync.
Политика SELinux предотвращает запись в общий каталог
демоном rsync. Если rsync не разрешает анонимную запись,
это может служить индикатором попытки вторжения.
Политика SELinux предотвращает выполнение записи в общий
каталог демоном samba.
Политика SELinux предотвращает выполнение записи в общий
каталог демоном samba. Если samba не разрешает анонимную запись,
это может служить индикатором попытки вторжения.
SELinux запретила $SOURCE доступ $ACCESS к файлам в почтовом каталоге spool.
$SOURCE попытался выполнить запись в файлы/ каталоги, в доступе к которым у Postfix нет необходимости. Доступ к ним можно специально настроить.
Если вы не настраивали $SOURCE на запись в spool,
эта попытка доступа может служить знаком вторжения.
SELinux запретила $SOURCE доступ $ACCESS к файлам, расположенным в почтовом каталоге spool.
SELinux запретила доступ $ACCESS к файлам в файловой системе NFS для $SOURCE.
NFS (Network Filesystem) — сетевая файловая система, используемая в системах Unix / Linux.
$SOURCE попытался прочесть данные из смонтированной системы этого типа.
NFS система не поддерживает низкоуровневое маркирование SELinux,
все файлы и каталоги имеют один и тот же контекст безопасности.
Если вы не настраивали $SOURCE на чтение файлов из NFS,
попытка получения доступа может служить индикатором попытки вторжения.
SELinux запретила $SOURCE доступ $ACCESS к файлам, расположенным в файловой системе NFS.
SELinux запретила $SOURCE доступ $ACCESS к файлам в файловой системе Windows SMB/CIFS (Samba).
CIFS — сетевая файловая система, обычно используемая в Windows.
$SOURCE попытался прочитать содержимое
смонтированной системы этого типа. Так как CIFS система не поддерживает
низкоуровневое маркирование SELinux, все файлы и каталоги
имеют один контекст безопасности.
Если вы не настраивали $SOURCE на чтение файлов из CIFS,
попытка получения доступа может служить индикатором вторжения.
SELinux запретила $SOURCE доступ $ACCESS к файлам в файловой системе Windows SMB/CIFS (Samba).
SELinux запретила $SOURCE доступ к spool-файлу cron.
SELinux запретила $SOURCE доступ к spool-файлу cron.
Доступ нужен при использовании fcron в качестве демона cron
(<a href="http://fcron.free.fr/">http://fcron.free.fr</a>).
Если вы используете fcron, можно разрешить этот доступ.
В противном случае это может служить индикатором попытки вторжения.
SELinux запретила исполнение $SOURCE в качестве демона.
SELinux запретила исполнение $SOURCE в качестве демона.
FTP-серверы могут запускаться как xinetd или как независимый
демон. Эти варианты незначительно отличаются с точки зрения
доступа. Если вы настроили ftp-сервер на запуск в качестве демона,
вы должны разрешить такой доступ. В противном случае это может служить
индикатором попытки вторжения.
SELinux запретила $SOURCE монтировать файловую систему в
"$TARGET_PATH" с типом "$TARGET_TYPE". По умолчанию
SELinux ограничивает монтирование файловых систем некоторыми файлами или
каталогами (имеющими атрибут mountpoint).
Тип "$TARGET_TYPE" не имеет этого атрибута. Можно попробовать изменить
метку файла или каталога.
SELinux запретила $SOURCE монтировать файловую систему
в файл/ каталог "$TARGET_PATH" (тип "$TARGET_TYPE").
По умолчанию SELinux ограничивает круг файлов и каталогов,
в которые могут быть смонтированы файловые системы. Такие файлы и
каталоги имеют атрибут "mountpoint". Для типа "$TARGET_TYPE"
этот атрибут не установлен. Вы можете либо переназначить атрибут
для файла или каталога, либо установить значение переменной
"$BOOLEAN" в TRUE для разрешения монтирования в любую точку.
SELinux запретила $SOURCE монтировать
файл или каталог "$TARGET_PATH" (тип "$TARGET_TYPE").
SELinux запретила $SOURCE монтировать
файл или каталог "$TARGET_PATH".
SELinux запретила $SOURCE выполнять чтение устройства urandom.
SELinux запретила $SOURCE_NAME читать из устройства urandom.
Некоторым приложениям может понадобиться предоставить доступ, но бывают
ситуации, когда доступ необходим всем приложениям (например,
когда используется защита стека ProPolice/SSP). Разрешение этого доступа
может позволить вредоносным приложениям вызвать утечку в пуле entropy
ядра, а это нарушает эффективность работы программ,
требующих генерации высококачественных случайных чисел (например, ssh-keygen).
Стоит заметить, что риск подобной атаки относительно низок.
SELinux запретила $SOURCE использовать NIS (yp)
для аутентификации. Если система настроена на использование NIS,
то данное действие ожидаемо, но в данный момент отключено политикой SELinux.
В противном случае это может быть индикатором попытки вторжения.
SELinux запретила $SOURCE использовать NIS (yp).
SELinux запретила $SOURCE использовать kerberos для аутентификации.
Если система настроена на использование kerberos,
то данное действие ожидаемо, но в данный момент отключено политикой SELinux.
В противном случае это может быть индикатором попытки вторжения.
SELinux запретила $SOURCE использовать kerberos.
SELinux запретила $SOURCE выполнять запись в $TARGET_PATH.
SELinux запретила $SOURCE запись в $TARGET_PATH.
Если $TARGET_PATH — системный файл, запись можно разрешить. В противном случае это может служить знаком вторжения.
SELinux запретила назначение исполняемого стека модулем
java ($SOURCE_TYPE).
SELinux предотвратила назначение исполняемого стека модулем mplayer ($SOURCE_TYPE).
SELinux запретила httpd доступ $ACCESS к файлам http.
SELinux предотвратила чтение файла теневых паролей приложением CVS.
SELinux запретила CVS приложению читать теневой файл паролей.
CVS приложению требуется доступ чтения для работы по прямому соединению
(например, pserver) и для аутентификации при доступе к системным паролям или теневым
файлам без PAM. Возможно, имеет место попытка вторжения.
Рекомендуется использовать CVS совместно с PAM, аутентифицироваться через отдельный
файл или использовать другой протокол (например, ssh) вместо разрешения такого доступа.
Обратитесь к руководству по CVS за более подробной информацией о потенциальном риске такого соединения
(<a href="http://ximbiot.com/cvs/manual/cvs-1.11.22/cvs_2.html">http://ximbiot.com/cvs/manual/cvs-1.11.22/cvs_2.html</a>).
SELinux запретила демону ftp $ACCESS к файлам в файловой системе CIFS.
CIFS (Comment Internet File System) — сетевая файловая система, аналогичная
SMB (<a href="http://www.microsoft.com/mind/1196/cifs.asp">http://www.microsoft.com/mind/1196/cifs.asp</a>).
Демон ftp попытался прочесть данные из смонтированной системы этого типа.
Так как файловые системы CIFS не поддерживают низкоуровневое
маркирование SELinux, а все файлы и каталоги имеют один и тот же контекст безопасности.
Если вы не настраивали демон ftp на чтение файлов из CIFS,
попытка получения доступа может служить сигналом вторжения.
SELinux запретила доступ $ACCESS демона ftp к файлам системы CIFS.
SELinux запретила доступ $ACCESS к файлам на разделе NFS.
NFS (Network Filesystem) — сетевая файловая система, обычно используемая в системах UNIX/Linux.
Демон ftp попытался прочесть данные из смонтированной системы этого типа.
NFS система не поддерживает низкоуровневое маркирование SELinux,
все файлы и каталоги имеют один и тот же контекст безопасности.
Если вы не настраивали демон ftp на чтение файлов из NFS,
попытка получения доступа может служить сигналом вторжения.
SELinux запретила доступ $ACCESS демона ftp к файлам системы NFS.
SELinux запретила чтение временных файлов непривилегированного
пользователя демоном gss.
SELinux запретила демону http доступ $ACCESS к файлам в файловой системе CIFS.
CIFS — сетевая файловая система, обычно используемая в Windows/ Linux.
Демон http попытался прочесть файл или каталог из
смонтированной файловой системы этого типа. CIFS система не поддерживает
низкоуровневое маркирование SELinux, поэтому все файлы и каталоги
в файловой системе имеют один и тот же контекст безопасности.
Если вы не настраивали демон http на чтение файлов из CIFS,
это может служить индикатором попытки вторжения.
SELinux запретила демону http доступ $ACCESS к файлам в файловой системе CIFS.
SELinux предотвратила доступ $ACCESS к файлам в файловой системе NFS.
NFS (Network Filesystem) — сетевая файловая система, обычно используемая в системах UNIX/Linux.
Демон http попытался прочесть файлы или каталоги из
смонтированной файловой системы этого типа. NFS система не поддерживает
низкоуровневое маркирование SELinux, поэтому все файлы и каталоги
файловой системы имеют один и тот же контекст безопасности.
Если вы не настраивали демон http на чтение из NFS,
это может служить индикатором попытки вторжения.
SELinux запретила http доступ $ACCESS к файлам в файловой системе NFS.
SELinux предотвратила назначение исполнимого стека подключаемым модулем java ($SOURCE_TYPE).
Исполняемый стек не должен требоваться приложениям
(см. <a href="http://people.redhat.com/drepper/selinux-mem.html">Тесты защиты памяти SELinux</a>).
В то же время, некоторые версии модулей Java требуют данную возможность
для нормальной работы. Прежде чем отключить защиту, проверьте наличие
программных обновлений.
SELinux предотвратила назначение исполняемого стека модулем mplayer ($SOURCE_TYPE).
Исполняемый стек не должен требоваться приложениям
(см. <a href="http://people.redhat.com/drepper/selinux-mem.html">Тесты защиты памяти SELinux</a>).
В то же время, некоторые версии модулей mplayer требуют данную возможность
для нормальной работы. Прежде чем отключить защиту, проверьте наличие
программных обновлений.
SELinux запретила демону tftp выполнить запись в $TARGET_PATH.
Обычно настройки tftp разрешают только чтение.
Если ваши настройки tftpd разрешают изменение $TARGET_PATH,
то потребуется изменить его метку.
В противном случае это может служить индикатором попытки вторжения.
Иногда библиотека случайно маркируется флагом execstack.
Если вы найдете подобную библиотеку, можно снять флаг, выполнив
execstack -c LIBRARY_PATH. Попробуйте запустить ваше приложение снова.
Если оно не заработает, снова включите флаг: execstack -s LIBRARY_PATH.
Если же вы считаете, что $SOURCE работает устойчиво,
можно изменить его контекст на execmem_exec_t.
"chcon -t execmem_exec_t '$SOURCE_PATH'"
Также потребуется изменить исходные файлы контекста, чтобы предотвратить их разметку.
"semanage fcontext -a -t execmem_exec_t '$SOURCE_PATH'"
Приложение $SOURCE попыталось изменить защиту доступа к памяти
(например, распределение malloc). Это может подвергнуть риску
безопасность работы. Возможно, проблема и не связана напрямую с Firefox,
а с одним из подключаемых модулей. Попробуйте удалить модуль.
Если вы точно знаете, какой модуль приводит к проблемам,
пожалуйста, сообщите об этом нам, создав запрос в Bugzilla.
Приложение $SOURCE попыталось изменить защиту доступа памяти кучи
(выделенной с помощью malloc), что представляет потенциальную проблему
с точки зрения безопасности. Обычно приложения не должны пытаться это сделать.
Иногда вследствие ошибок кода приложения могут потребовать такой доступ.
Документ
<a href="http://people.redhat.com/drepper/selinux-mem.html">Тесты защиты памяти SELinux</a>
объясняет, как отказаться от использования такой возможности. Если $SOURCE не работает, а
вам срочно необходимо данное приложение, можно временно разрешить
доступ пока приложение не будет исправлено. Пожалуйста, создайте
запрос в Bugzilla для этого пакета.
Приложение $SOURCE попыталось загрузить $TARGET_PATH, что
требует перемещения текста. Это представляет потенциальную проблему с
точки зрения безопасности. Иногда библиотеки
написаны некорректно и требуют разрешения на перемещение. Документ
<a href="http://people.redhat.com/drepper/selinux-mem.html">Тесты защиты памяти SELinux</a>
объясняет, как отказаться от использования такой возможности. Можно настроить
SELinux так, чтобы временно разрешить $TARGET_PATH использовать перемещение,
пока библиотека не будет исправлена. Пожалуйста, создайте
запрос в Bugzilla для этого пакета.
Приложение $SOURCE попыталось загрузить $TARGET_PATH, что
требует перемещения. Это представляет потенциальную проблему с
точки зрения безопасности. Иногда библиотеки
написаны некорректно и требуют разрешения на перемещение. Документ
<a href="http://people.redhat.com/drepper/selinux-mem.html">Тесты защиты памяти SELinux</a>
объясняет, как отказаться от использования такой возможности.
Эта утилита проанализировала библиотеку, и, судя по всему,
ее сборка выполнена правильно. Но setroubleshoot не может точно определить,
было ли это приложение скомпрометировано.
Это довольно серьезная проблема.
Сообщите об этой проблеме вашему администратору по безопасности.
Приложение $SOURCE попыталось сделать свой стек
исполняемым, что представляет потенциальную угрозу безопасности.
В этом не должно быть необходимости. Стековая память не является исполняемой
в большинстве ОС на сегодняшний день, и в будущем это не изменится.
Исполняемый стек представляет собой исключительно серьезную проблему безопасности.
Ошибка подобного рода может быть вызвана вредоносными программами.
Иногда приложения, написанные
некорректно, могут запросить на это разрешение. Документ
<a href="http://people.redhat.com/drepper/selinux-mem.html">Тесты защиты памяти SELinux</a>
объясняет, как исключить использование такой возможности. Если $SOURCE не
работает, когда это необходимо, можно настроить SELinux так,
чтобы временно разрешить такую возможность, пока приложение не будет исправлено. Пожалуйста,
создайте запрос в Bugzilla для этого пакета.
Используйте команды наподобие "cp -P" для сохранения всех прав доступа кроме контекста SELinux.
Вы можете изменить файловый контекст, выполнив команду
"chcon -t bin_t '$TARGET_PATH'" или "chcon -t lib_t $'TARGET_PATH'",
если это общая библиотека.
Чтобы сделать эти изменения постоянными, используйте команду semanage.
"semanage fcontext -a -t bin_t '$TARGET_PATH'" или
"semanage fcontext -a -t lib_t '$TARGET_PATH'".
Если вы считаете, что эта программа/ библиотека находится в неположенном месте, отправьте отчет об ошибке для пакета, включающего этот файл, Также, если вы считаете, что SELinux должна знать об этом файле и правильно его маркировать, создайте запрос в Bugzilla для политики SELinux.
Можно изменить контекст, выполнив команду:
chcon -R -t cvs_data_t '$TARGET_PATH'
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t cvs_data_t '$TARGET_PATH'"
Файловый контекст можно изменить с помощью команды
" chcon -R -t rsync_data_t '$TARGET_PATH'"
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t rsync_data_t '$TARGET_PATH'"
Контекст файла можно изменить, выполнив команду
"chcon -R -t samba_share_t '$TARGET_PATH'"
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t samba_share_t '$TARGET_PATH'"
Файловый контекст можно изменить, выполнив
"сhcon -t swapfile_t '$TARGET_PATH'"
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t public_content_t '$TARGET_PATH'"
Файловый контекст можно изменить, выполнив
"сhcon -t swapfile_t '$TARGET_PATH'"
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t swapfile_t '$TARGET_PATH'"
Контекст файла можно изменить, выполнив команду
"chcon -t virt_image_t '$TARGET_PATH'
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t virt_image_t '$TARGET_PATH'"
Файловый контекст можно изменить, выполнив команду
"chcon -t xen_image_t '$TARGET_PATH'"
Также необходимо изменить контексты файлов в системе,
используемые по умолчанию,
чтобы они сохранились даже при повторной разметке.
"semanage fcontext -a -t xen_image_t '$TARGET_PATH'"
Выполните следующую команду в качестве пользователя root
для изменения маркировки системы: "touch /.autorelabel; reboot"
Вы можете сгенерировать модуль локальной политики, чтобы разрешить доступ
(см. <a href="http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385">FAQ</a>).
Вы можете сгенерировать модуль локальной политики, чтобы разрешить доступ
(см. <a href="http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385">FAQ</a>).
Пожалуйста, создайте запрос в Bugzilla.
Исходный контекст файла можно восстановить:
"restorecon '$TARGET_PATH'"
Для каталога используйте команду "restorecon -R '$TARGET_PATH'".
Ваша система может быть серьёзно скомпрометирована!
Ваша система может быть серьёзно скомпрометирована!
$SOURCE_PATH пытается выполнить mmap для нижнего диапазона памяти ядра.
Ваша система может быть серьёзно скомпрометирована! $SOURCE_PATH пытается загрузить модуль ядра.
Ваша система может быть серьёзно скомпрометирована! $SOURCE_PATH пытается изменить принудительный режим SELinux.
Ваша система может быть серьёзно скомпрометирована! $SOURCE_PATH пытается изменить конфигурацию ядра.
Если вы хотите продолжить выполнение данной программы вам необходимо
это разрешить. Это можно сделать из командной строки, выполнив:
# setsebool -P mmap_low_allowed 1
SELinux запретила выполнение операции запрошенной wine-preloader, программой для запуска приложений Windows на Linux. Известно, что эта программа использует небезопасные операции с системной памятью, как и вредоносные программы/эксплойты, маскирующиеся под wine. Если вы
пытаетесь запустить проложение Windows, вы можете либо разрешить
данную операцию уменьшив иммунитет вашей системы от таких вредоносных программ
, либо отказаться от использования проложений Windows под Linux. Если же вы не пытались запустить приложение Windows, это означает, что вы атакованы одной из таких вредоносных программ, или кто-то пытается использовать вашу систему в гнусных целях.
Обратитесь за более подробной информацией к статье
http://wiki.winehq.org/PreloaderPageZeroProblem
В которой описаны другие проблемы, с которыми сталкивается программа wine из-за небезопасных операций с памятью, и возможные пути решения этих проблем.
Проблему можно решить двумя способами. Наиболее безопасный способ состоит в установке пакета nsspluginwrapper, который заставит Firefox создать отдельный процесс для выполнения подключаемых модулей. Также рекомендуется отключить allow_unconfined_nsplugin_transition:
<br>
setsebool -P allow_unconfined_nsplugin_transition=0
</br>
Для разрешения демону http прослушивать порт ftp
установите значение $BOOLEAN:
"setsebool -P $BOOLEAN=1"
Установка логических значений "$BOOLEAN" и
"$WRITE_BOOLEAN" в TRUE откроет доступ:
"setsebool -P $BOOLEAN=1 $WRITE_BOOLEAN=1".
Предупреждение: установка "$WRITE_BOOLEAN" в TRUE
позволит ftp демону осуществлять запись во все общие ресурсы
(файлы и каталоги типа public_content_t) помимо записи в
файлы и каталоги в файловых системах CIFS. Установка логических значений "allow_ftpd_use_nfs" и
"$WRITE_BOOLEAN" в TRUE разрешит такой доступ:
"setsebool -P allow_ftpd_use_nfs=1 $WRITE_BOOLEAN=1".
Предупреждение: установка флага "$WRITE_BOOLEAN" в TRUE
разрешает демону ftp осуществлять запись во все общие ресурсы
(файлы и каталоги типа public_content_t) помимо записи в
файлы и каталоги в файловых системах NFS. <br><br>Описание логической переменной: <br>%s<br><br> Авторизация CRON CVS Выберите один из нижеприведенных вариантов для разрешения доступа:<br> Служба разрешения доменных имен FTP Метка файла Файловая система Java Ядро Почта Носитель Память Сетевые порты Сетевое окружение Логическое значение установлено неверно: <b>%s</b> RSYNC Восстановить Контекст SAMBA SELinux запрещает $SOURCE_PATH доступ "$ACCESS". SELinux запретила чтение временных файлов
непривилегированного пользователя (например, в /tmp) демоном gss.
Разрешение такого доступа не представляет серьезного риска.
Но если вы не настраивали демон gss на чтение этих файлов,
это может служить индикатором попытки вторжения. TFTP Логическая переменная <b>%s</b> определена неверно. Выключить защиту памяти Веб-сервер Zebra