Bug 1968126 - SELinux blocked find from access to dma_heap
Summary: SELinux blocked find from access to dma_heap
Keywords:
Status: CLOSED DUPLICATE of bug 1965743
Alias: None
Product: Fedora
Classification: Fedora
Component: selinux-policy
Version: 34
Hardware: Unspecified
OS: Unspecified
unspecified
unspecified
Target Milestone: ---
Assignee: Zdenek Pytela
QA Contact: Fedora Extras Quality Assurance
URL:
Whiteboard:
Depends On:
Blocks:
TreeView+ depends on / blocked
 
Reported: 2021-06-05 16:52 UTC by oli
Modified: 2021-06-07 16:02 UTC (History)
7 users (show)

Fixed In Version:
Clone Of:
Environment:
Last Closed: 2021-06-07 16:02:57 UTC
Type: Bug
Embargoed:


Attachments (Terms of Use)

Description oli 2021-06-05 16:52:21 UTC
Description of problem:
i get warnings about SELinux errors in the tray

Version-Release number of selected component (if applicable):
python3-libselinux-3.2-1.fc34.x86_64
libselinux-3.2-1.fc34.x86_64
libselinux-utils-3.2-1.fc34.x86_64
rpm-plugin-selinux-4.16.1.3-1.fc34.x86_64
flatpak-selinux-1.10.2-3.fc34.noarch
libselinux-3.2-1.fc34.i686
libselinux-devel-3.2-1.fc34.x86_64
selinux-policy-34.9-1.fc34.noarch
selinux-policy-targeted-34.9-1.fc34.noarch
container-selinux-2.162.2-1.fc34.noarch


How reproducible:
always

Steps to Reproduce:
1. just login to fedora 34 mate and it should appear 
2.
3.

Actual results:
an error icon in the tray 

Expected results:
no error/warning messages

Additional info:

SELinux hindert /usr/bin/find daran, mit read-Zugriff auf Verzeichnis dma_heap zuzugreifen.

*****  Plugin catchall (100. Wahrscheinlichkeit) schlägt vor    **************

Wenn Sie denken, dass es find standardmäßig erlaubt sein sollte, read Zugriff auf dma_heap directory zu erhalten.
Dann sie sollten dies als Fehler melden.
Um diesen Zugriff zu erlauben, können Sie ein lokales Richtlinien-Modul erstellen.
Ausführen
zugriff jetzt erlauben, indem Sie die nachfolgenden Befehle ausführen:
# ausearch -c 'find' --raw | audit2allow -M my-find
# semodule -X 300 -i my-find.pp

zusätzliche Information:
Quellkontext                  system_u:system_r:system_cronjob_t:s0-s0:c0.c1023
Zielkontext                   system_u:object_r:dma_device_t:s0
Zielobjekte                   dma_heap [ dir ]
Quelle                        find
Quellpfad                     /usr/bin/find
Port                          <Unbekannt>
Host                          lucy
RPM-Pakete der Quelle         findutils-4.8.0-2.fc34.x86_64
RPM-Pakete des Ziels          
SELinux Policy RPM            selinux-policy-targeted-34.9-1.fc34.noarch
Local Policy RPM              selinux-policy-targeted-34.9-1.fc34.noarch
SELinux aktiviert             True
Richtlinientyp                targeted
Enforcing-Modus               Enforcing
Rechnername                   lucy
Plattform                     Linux lucy 5.12.8-300.fc34.x86_64 #1 SMP Fri May
                              28 15:20:54 UTC 2021 x86_64 x86_64
Anzahl der Alarme             4
Zuerst gesehen                2021-06-04 08:34:55 CEST
Zuletzt gesehen               2021-06-05 03:18:53 CEST
Lokale ID                     bd567014-8d43-4de9-9043-5782f5b1a55a

Raw-Audit-Meldungen
type=AVC msg=audit(1622855933.4:458): avc:  denied  { read } for  pid=101557 comm="find" name="dma_heap" dev="devtmpfs" ino=174 scontext=system_u:system_r:system_cronjob_t:s0-s0:c0.c1023 tcontext=system_u:object_r:dma_device_t:s0 tclass=dir permissive=0


type=SYSCALL msg=audit(1622855933.4:458): arch=x86_64 syscall=openat success=no exit=EACCES a0=5 a1=563b78aacac0 a2=b0900 a3=0 items=1 ppid=101556 pid=101557 auid=4294967295 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=4294967295 comm=find exe=/usr/bin/find subj=system_u:system_r:system_cronjob_t:s0-s0:c0.c1023 key=(null)

type=CWD msg=audit(1622855933.4:458): cwd=/

type=PATH msg=audit(1622855933.4:458): item=0 name=dma_heap inode=174 dev=00:05 mode=040755 ouid=0 ogid=0 rdev=00:00 obj=system_u:object_r:dma_device_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0

Hash: find,system_cronjob_t,dma_device_t,dir,read

Comment 1 Zdenek Pytela 2021-06-07 16:02:57 UTC

*** This bug has been marked as a duplicate of bug 1965743 ***


Note You need to log in before you can comment on or make changes to this bug.