<html xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns="http://www.w3.org/TR/REC-html40"> <head> <meta http-equiv=Content-Type content="text/html; charset=us-ascii"> <meta name=Generator content="Microsoft Word 11 (filtered medium)"> <style>  </style> </head> <body lang=EN-US link=blue vlink=purple> <div class=Section1> Hi there,<o:p></o:p> <o:p> </o:p> I’m having some problems with apache and selinux. <o:p></o:p> <o:p> </o:p> Yesterday in /var/log/httpd/error_log I had:<o:p></o:p> <o:p> </o:p> [Thu Jul 17 16:34:26 2008] [notice] SELinux policy enabled; httpd running as context user_u:system_r:httpd_t<o:p></o:p> [Thu Jul 17 16:34:26 2008] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin/suexec)<o:p></o:p> [Thu Jul 17 16:34:26 2008] [notice] Digest: generating secret for digest authentication ...<o:p></o:p> [Thu Jul 17 16:34:26 2008] [notice] Digest: done<o:p></o:p> [Thu Jul 17 16:34:26 2008] [warn] pid file /var/www/ditsite/logs/httpd.pid overwritten -- Unclean shutdown of previous Apache run?<o:p></o:p> [Thu Jul 17 16:34:26 2008] [notice] Apache configured -- resuming normal operations<o:p></o:p> <o:p> </o:p> <o:p> </o:p> It happened a couple of times on a production site, so I decided to try disabling protection for httpd Daemon:<o:p></o:p> <o:p> </o:p> # setsebool -P httpd_disable_trans 1<o:p></o:p> # service httpd restart<o:p></o:p> <o:p> </o:p> Message in /var/log/messages<o:p></o:p> <o:p> </o:p> Jul 18 13:37:46 localhost dbus: avc: received policyload notice (seqno=3) <o:p></o:p> Jul 18 13:37:47 localhost setsebool: The httpd_disable_trans policy boolean was changed to 1 by root<o:p></o:p> Jul 18 13:37:48 localhost setroubleshoot: SELinux is preventing setsebool (semanage_t) "sys_admin" to <Unknown> (semanage_t). For complete SELinux messages. run sealert -l dbc64b3f-71be-48c7-aa07-03264440576c<o:p></o:p> <o:p> </o:p> Sealert says the following:<o:p></o:p> <o:p> </o:p> Summary:<o:p></o:p> <o:p> </o:p> SELinux is preventing httpd (httpd_t) "sys_admin" to <Unknown> (httpd_t).<o:p></o:p> <o:p> </o:p> Detailed Description:<o:p></o:p> <o:p> </o:p> [SELinux is in permissive mode, the operation would have been denied but was<o:p></o:p> permitted due to permissive mode.]<o:p></o:p> <o:p> </o:p> SELinux denied access requested by httpd. It is not expected that this access is<o:p></o:p> required by httpd and this access may signal an intrusion attempt. It is also<o:p></o:p> possible that the specific version or configuration of the application is<o:p></o:p> causing it to require additional access.<o:p></o:p> <o:p> </o:p> Allowing Access:<o:p></o:p> <o:p> </o:p> You can generate a local policy module to allow this access - see FAQ<o:p></o:p> (http://fedora.redhat.com/docs/selinux-faq-fc5/#id2961385) Or you can disable<o:p></o:p> SELinux protection altogether. Disabling SELinux protection is not recommended.<o:p></o:p> Please file a bug report (http://bugzilla.redhat.com/bugzilla/enter_bug.cgi)<o:p></o:p> against this package.<o:p></o:p> <o:p> </o:p> Additional Information:<o:p></o:p> <o:p> </o:p> Source Context root:system_r:httpd_t<o:p></o:p> Target Context root:system_r:httpd_t<o:p></o:p> Target Objects None [ capability ]<o:p></o:p> Source httpd<o:p></o:p> Source Path /usr/sbin/httpd<o:p></o:p> Port <Unknown><o:p></o:p> Host OSTRAIS<o:p></o:p> Source RPM Packages httpd-2.2.3-11.el5_1.3<o:p></o:p> Target RPM Packages <o:p></o:p> Policy RPM selinux-policy-2.4.6-137.1.el5_2<o:p></o:p> Selinux Enabled True<o:p></o:p> Policy Type targeted<o:p></o:p> MLS Enabled True<o:p></o:p> Enforcing Mode Permissive<o:p></o:p> Plugin Name catchall<o:p></o:p> Host Name OSTRAIS<o:p></o:p> Platform Linux OSTRAIS 2.6.18-92.1.1.el5 #1 SMP Thu May 22<o:p></o:p> 09:01:47 EDT 2008 x86_64 x86_64<o:p></o:p> Alert Count 10<o:p></o:p> First Seen Thu Jul 17 17:20:02 2008<o:p></o:p> Last Seen Fri Jul 18 13:33:30 2008<o:p></o:p> Local ID b22d5d55-1982-4c69-820e-7df4dbd33842<o:p></o:p> Line Numbers <o:p></o:p> <o:p> </o:p> Raw Audit Messages <o:p></o:p> <o:p> </o:p> host=OSTRAIS type=AVC msg=audit(1216384410.773:2490): avc: denied { sys_admin } for pid=24960 comm="httpd" capability=21 scontext=root:system_r:httpd_t:s0 tcontext=root:system_r:httpd_t:s0 tclass=capability<o:p></o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> <![if !supportLists]>1.) <![endif]>Why is selinux preventing me from changing this value? <o:p></o:p> <![if !supportLists]>2.) <![endif]>Am I taking the correct approach?<o:p></o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> httpd-2.2.3-11.el5_1.3/<o:p></o:p> Linux 2.6.18-92.1.1.el5 x86_64 GNU/Linux<o:p></o:p> Red Hat Enterprise Linux Server release 5.2 (Tikanga)<o:p></o:p> <o:p> </o:p> Thanks<o:p></o:p> <o:p> </o:p> Colly<o:p></o:p> </div> This message has been scanned for content and viruses by the DIT Information Services E-Mail Scanning Service, and is believed to be clean. http://www.dit.ie </body> </html>