Résumé: SELinux empêche l'accès en « execmem » à /usr/bin/clamscan Description détaillée: SELinux a refusé l'accès demandé par clamscan. Il n'est pas prévu que cet accès soit requis par clamscan et cet accès peut signaler une tentative d'intrusion. Il est également possible que cette version ou cette configuration spécifique de l'application provoque cette demande d'accès supplémenta Autoriser l'accès: Vous pouvez créer un module de stratégie locale pour autoriser cet accès - lisez la FAQ (http://docs.fedoraproject.org/selinux-faq-fc5/#id2961385) Merci de remplir un rapport de bogue. Informations complémentaires: Contexte source unconfined_u:system_r:clamscan_t:s0 Contexte cible unconfined_u:system_r:clamscan_t:s0 Objets du contexte None [ process ] source clamscan Chemin de la source /usr/bin/clamscan Port <Inconnu> Hôte (supprimé) Paquetages RPM source clamav-0.96.2-1400.fc14 Paquetages RPM cible Politique RPM selinux-policy-3.8.8-15.fc14 Selinux activé True Type de politique targeted Mode strict Enforcing Nom du plugin catchall Nom de l'hôte (supprimé) Plateforme Linux (supprimé) 2.6.35.2-8.fc14.x86_64 #1 SMP Sun Aug 15 08:38:26 UTC 2010 x86_64 x86_64 Compteur d'alertes 34 Première alerte mar. 17 août 2010 20:00:12 CEST Dernière alerte mar. 17 août 2010 20:09:06 CEST ID local 9146122c-ed92-4558-a56c-8be1298fac53 Numéros des lignes Messages d'audit bruts node=(supprimé) type=AVC msg=audit(1282068546.794:209): avc: denied { execmem } for pid=14579 comm="clamscan" scontext=unconfined_u:system_r:clamscan_t:s0 tcontext=unconfined_u:system_r:clamscan_t:s0 tclass=process node=(supprimé) type=SYSCALL msg=audit(1282068546.794:209): arch=c000003e syscall=9 success=no exit=-13 a0=0 a1=1000 a2=7 a3=22 items=0 ppid=2772 pid=14579 auid=500 uid=490 gid=485 euid=490 suid=490 fsuid=490 egid=485 sgid=485 fsgid=485 tty=(none) ses=1 comm="clamscan" exe="/usr/bin/clamscan" subj=unconfined_u:system_r:clamscan_t:s0 key=(null) Hash String generated from catchall,clamscan,clamscan_t,clamscan_t,process,execmem audit2allow suggests: #============= clamscan_t ============== allow clamscan_t self:process execmem;
Dan, we allow it via 'clamd_use_jit' boolean in the F13 policy.
I've seen it but it's not sufficient with the current selinux policy.
type=ANOM_ABEND msg=audit(1282163193.698:42): auid=4294967295 uid=490 gid=485 ses=4294967295 subj=system_u:system_r:clamd_t:s0 pid=2654 comm="clamd" sig=11
You can add these rules for now using # grep avc /var/log/audit/audit.log | audit2allow -M mypol # semodule -i mypol.pp Fixed in selinux-policy-3.8.8-17.fc14
selinux-policy-3.8.8-20.fc14 has been submitted as an update for Fedora 14. http://admin.fedoraproject.org/updates/selinux-policy-3.8.8-20.fc14
selinux-policy-3.8.8-20.fc14 has been pushed to the Fedora 14 testing repository. If problems still persist, please make note of it in this bug report. If you want to test the update, you can install it with su -c 'yum --enablerepo=updates-testing update selinux-policy'. You can provide feedback for this update here: http://admin.fedoraproject.org/updates/selinux-policy-3.8.8-20.fc14
selinux-policy-3.8.8-20.fc14 has been pushed to the Fedora 14 stable repository. If problems still persist, please make note of it in this bug report.