Bug 479014

When burning DVD I got these two lovely AVC denials as staff_u:


Souhrn:

SELinux is preventing growisofs (staff_t) "read write" to sg1
(scsi_generic_device_t).

Podrobný popis:

[SELinux je v uvolněném režimu, operace by byla odmítnuta, ale byla povolena
kvůli uvolněnému režimu.]

SELinux denied access requested by growisofs. It is not expected that this
access is required by growisofs and this access may signal an intrusion attempt.
It is also possible that the specific version or configuration of the
application is causing it to require additional access.

Povolení přístupu:

Sometimes labeling problems can cause SELinux denials. You could try to restore
the default system file context for sg1,

restorecon -v 'sg1'

If this does not work, there is currently no automatic way to allow this access.
Instead, you can generate a local policy module to allow this access - see FAQ
(http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385) Or you can disable
SELinux protection altogether. Disabling SELinux protection is not recommended.
Please file a bug report (http://bugzilla.redhat.com/bugzilla/enter_bug.cgi)
against this package.

Další informace:

Kontext zdroje                staff_u:staff_r:staff_t:SystemLow-SystemHigh
Kontext cíle                 system_u:object_r:scsi_generic_device_t
Objekty cíle                 sg1 [ chr_file ]
Zdroj                         growisofs
Cesta zdroje                  /usr/bin/growisofs
Port                          <Neznámé>
Počítač                    viklef
RPM balíčky zdroje          dvd+rw-tools-7.1-1.fc10
RPM balíčky cíle           
RPM politiky                  selinux-policy-3.5.13-35.fc10
Selinux povolen               True
Typ politiky                  targeted
MLS povoleno                  True
Vynucovací režim            Permissive
Název zásuvného modulu     catchall_file
Název počítače            viklef
Platforma                     Linux viklef 2.6.27.9-159.fc10.i686 #1 SMP Tue Dec
                              16 15:12:04 EST 2008 i686 i686
Počet upozornění           1
Poprvé viděno               Pá 2. leden 2009, 14:06:11 CET
Naposledy viděno             Pá 2. leden 2009, 14:06:11 CET
Místní ID                   521e847d-3158-4756-b71f-9b16955597a6
Čísla řádků              

Původní zprávy auditu      

node=viklef type=AVC msg=audit(1230901571.916:4622): avc:  denied  { read write } for  pid=8539 comm="growisofs" name="sg1" dev=tmpfs ino=505 scontext=staff_u:staff_r:staff_t:s0-s0:c0.c1023 tcontext=system_u:object_r:scsi_generic_device_t:s0 tclass=chr_file

node=viklef type=SYSCALL msg=audit(1230901571.916:4622): arch=40000003 syscall=5 success=yes exit=7 a0=bfb3d698 a1=8882 a2=0 a3=8882 items=0 ppid=1 pid=8539 auid=500 uid=500 gid=500 euid=500 suid=500 fsuid=500 egid=500 sgid=500 fsgid=500 tty=(none) ses=1 comm="growisofs" exe="/usr/bin/growisofs" subj=staff_u:staff_r:staff_t:s0-s0:c0.c1023 key=(null)

====================================


Souhrn:

SELinux is preventing growisofs (staff_t) "ioctl" to /dev/sg1
(scsi_generic_device_t).

Podrobný popis:

[SELinux je v uvolněném režimu, operace by byla odmítnuta, ale byla povolena
kvůli uvolněnému režimu.]

SELinux denied access requested by growisofs. It is not expected that this
access is required by growisofs and this access may signal an intrusion attempt.
It is also possible that the specific version or configuration of the
application is causing it to require additional access.

Povolení přístupu:

Sometimes labeling problems can cause SELinux denials. You could try to restore
the default system file context for /dev/sg1,

restorecon -v '/dev/sg1'

If this does not work, there is currently no automatic way to allow this access.
Instead, you can generate a local policy module to allow this access - see FAQ
(http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385) Or you can disable
SELinux protection altogether. Disabling SELinux protection is not recommended.
Please file a bug report (http://bugzilla.redhat.com/bugzilla/enter_bug.cgi)
against this package.

Další informace:

Kontext zdroje                staff_u:staff_r:staff_t:SystemLow-SystemHigh
Kontext cíle                 system_u:object_r:scsi_generic_device_t
Objekty cíle                 /dev/sg1 [ chr_file ]
Zdroj                         growisofs
Cesta zdroje                  /usr/bin/growisofs
Port                          <Neznámé>
Počítač                    viklef
RPM balíčky zdroje          dvd+rw-tools-7.1-1.fc10
RPM balíčky cíle           
RPM politiky                  selinux-policy-3.5.13-35.fc10
Selinux povolen               True
Typ politiky                  targeted
MLS povoleno                  True
Vynucovací režim            Permissive
Název zásuvného modulu     catchall_file
Název počítače            viklef
Platforma                     Linux viklef 2.6.27.9-159.fc10.i686 #1 SMP Tue Dec
                              16 15:12:04 EST 2008 i686 i686
Počet upozornění           1
Poprvé viděno               Pá 2. leden 2009, 14:06:11 CET
Naposledy viděno             Pá 2. leden 2009, 14:06:11 CET
Místní ID                   efabe877-f05b-42ce-b9da-ea23e6105fd7
Čísla řádků              

Původní zprávy auditu      

node=viklef type=AVC msg=audit(1230901571.917:4623): avc:  denied  { ioctl } for  pid=8539 comm="growisofs" path="/dev/sg1" dev=tmpfs ino=505 scontext=staff_u:staff_r:staff_t:s0-s0:c0.c1023 tcontext=system_u:object_r:scsi_generic_device_t:s0 tclass=chr_file

node=viklef type=SYSCALL msg=audit(1230901571.917:4623): arch=40000003 syscall=54 success=yes exit=0 a0=7 a1=5382 a2=bfb3d674 a3=1 items=0 ppid=1 pid=8539 auid=500 uid=500 gid=500 euid=500 suid=500 fsuid=500 egid=500 sgid=500 fsgid=500 tty=(none) ses=1 comm="growisofs" exe="/usr/bin/growisofs" subj=staff_u:staff_r:staff_t:s0-s0:c0.c1023 key=(null)