Changeset 142

Show
Ignore:
Timestamp:
11/27/06 11:51:16 (2 years ago)
Author:
ccase
Message:

Updated to upstream.

Files:

Legend:

Unmodified
Added
Removed
Modified
Copied
Moved

  • upstream/refpolicy/Changelog

    r119 r142  
     1- Association polmatch MLS constraint making unlabeled_t an exception 
     2  is no longer needed, patch from Venkat Yekkirala. 
     3- Context contains checking for PAM and cron from James Antill. 
     4- Add a reload target to Modules.devel and change the load 
     5  target to only insert modules that were changed. 
     6- Allow semanage to read from /root on strict non-MLS for 
     7  local policy modules. 
     8- Gentoo init script fixes for udev. 
     9- Allow udev to read kernel modules.inputmap. 
     10- Dnsmasq fixes from testing. 
     11- Allow kernel NFS server to getattr filesystems so df can work 
     12  on clients. 
    113- Patch from Matt Anderson for a MLS constraint exemption on a 
    214  file that can be written to from a subject whose range is 
    …… 
    618        Tue, 24 Oct 2006 
    719- Added modules: 
     20        aide (Matt Anderson) 
     21        ccs (Dan Walsh) 
    822        iscsi (Dan Walsh) 
     23        ricci (Dan Walsh) 
    924 
    1025* Wed Oct 18 2006 Chris PeBenito <selinux@tresys.com> - 20061018 

  • upstream/refpolicy/policy/flask/access_vectors

    r119 r142  
    636636{ 
    637637        translate 
    638 } 
     638        contains 
     639} 

  • upstream/refpolicy/policy/mls

    r119 r142  
    586586 
    587587mlsconstrain association { polmatch } 
    588         ((( l1 dom l2 ) and ( h1 domby h2 )) or 
    589          ( t2 == unlabeled_t )); 
     588        (( l1 dom l2 ) and ( h1 domby h2 )); 
    590589 
    591590 
    …… 
    598597        (( h1 dom h2 ) or ( t1 == mlstranslate )); 
    599598 
     599mlsconstrain context contains 
     600        ( h1 dom h2 ); 
     601 
    600602') dnl end enable_mls 

  • upstream/refpolicy/policy/modules/admin/logrotate.te

    r73 r142  
    11 
    2 policy_module(logrotate,1.3.0) 
     2policy_module(logrotate,1.3.1) 
    33 
    44######################################## 
    …… 
    119119sysnet_read_config(logrotate_t) 
    120120 
     121userdom_dontaudit_search_sysadm_home_dirs(logrotate_t) 
    121122userdom_use_unpriv_users_fds(logrotate_t) 
    122123 

  • upstream/refpolicy/policy/modules/admin/portage.if

    r73 r142  
    326326        # run setfiles -r 
    327327        seutil_domtrans_setfiles($1) 
     328        # run semodule 
     329        seutil_domtrans_semanage($1) 
    328330 
    329331        portage_domtrans_gcc_config($1) 

  • upstream/refpolicy/policy/modules/admin/portage.te

    r73 r142  
    11 
    2 policy_module(portage,1.1.0) 
     2policy_module(portage,1.1.1) 
    33 
    44######################################## 

  • upstream/refpolicy/policy/modules/kernel/corenetwork.te.in

    r119 r142  
    11 
    2 policy_module(corenetwork,1.2.1) 
     2policy_module(corenetwork,1.2.2) 
    33 
    44######################################## 
    …… 
    6767network_port(clamd, tcp,3310,s0) 
    6868network_port(clockspeed, udp,4041,s0) 
     69network_port(cluster, tcp,5149,s0, udp,5149,s0, tcp,40040,s0, tcp,50006,s0, udp,50006,s0, tcp,50007,s0, udp,50007,s0, tcp,50008,s0, udp,50008,s0) 
    6970network_port(comsat, udp,512,s0) 
    7071network_port(cvs, tcp,2401,s0, udp,2401,s0) 
    …… 
    107108network_port(mysqld, tcp,3306,s0) 
    108109network_port(nessus, tcp,1241,s0) 
     110network_port(netsupport, tcp,5405,s0, udp,5405,s0) 
    109111network_port(nmbd, udp,137,s0, udp,138,s0, udp,139,s0) 
    110112network_port(ntp, udp,123,s0) 
    …… 
    123125network_port(radius, udp,1645,s0, udp,1812,s0) 
    124126network_port(razor, tcp,2703,s0) 
     127network_port(ricci, tcp,11111,s0, udp,11111,s0) 
     128network_port(ricci_modcluster, tcp,16851,s0, udp,16851,s0) 
    125129network_port(rlogind, tcp,513,s0) 
    126130network_port(rndc, tcp,953,s0) 

  • upstream/refpolicy/policy/modules/kernel/filesystem.if

    r119 r142  
    628628        allow $1 cifs_t:dir r_dir_perms; 
    629629        allow $1 cifs_t:file r_file_perms; 
     630') 
     631 
     632######################################## 
     633## <summary> 
     634##      Get the attributes of filesystems that 
     635##      do not have extended attribute support. 
     636## </summary> 
     637## <param name="domain"> 
     638##      <summary> 
     639##      Domain allowed access. 
     640##      </summary> 
     641## </param> 
     642## <rolecap/> 
     643# 
     644interface(`fs_getattr_noxattr_fs',` 
     645        gen_require(` 
     646                attribute noxattrfs; 
     647        ') 
     648 
     649        allow $1 noxattrfs:filesystem getattr; 
    630650') 
    631651 

  • upstream/refpolicy/policy/modules/kernel/filesystem.te

    r119 r142  
    11 
    2 policy_module(filesystem,1.4.1) 
     2policy_module(filesystem,1.4.2) 
    33 
    44######################################## 

  • upstream/refpolicy/policy/modules/kernel/kernel.te

    r73 r142  
    11 
    2 policy_module(kernel,1.4.0) 
     2policy_module(kernel,1.4.1) 
    33 
    44######################################## 
    …… 
    288288        corenet_sendrecv_generic_server_packets(kernel_t) 
    289289 
     290        fs_getattr_xattr_fs(kernel_t) 
     291 
    290292        auth_dontaudit_getattr_shadow(kernel_t) 
    291293 
    …… 
    297299 
    298300        tunable_policy(`nfs_export_all_ro',` 
    299                 fs_list_noxattr_fs(kernel_t)  
    300                 fs_read_noxattr_fs_files(kernel_t)  
    301                 fs_read_noxattr_fs_symlinks(kernel_t)  
    302  
    303                 auth_read_all_dirs_except_shadow(kernel_t)  
    304                 auth_read_all_files_except_shadow(kernel_t)  
    305                 auth_read_all_symlinks_except_shadow(kernel_t)  
     301                fs_getattr_noxattr_fs(kernel_t) 
     302                fs_list_noxattr_fs(kernel_t) 
     303                fs_read_noxattr_fs_files(kernel_t) 
     304                fs_read_noxattr_fs_symlinks(kernel_t) 
     305 
     306                auth_read_all_dirs_except_shadow(kernel_t) 
     307                auth_read_all_files_except_shadow(kernel_t) 
     308                auth_read_all_symlinks_except_shadow(kernel_t) 
    306309        ') 
    307310 
    308311        tunable_policy(`nfs_export_all_rw',` 
    309                 fs_list_noxattr_fs(kernel_t)  
    310                 fs_read_noxattr_fs_files(kernel_t)  
    311                 fs_read_noxattr_fs_symlinks(kernel_t)  
     312                fs_getattr_noxattr_fs(kernel_t) 
     313                fs_list_noxattr_fs(kernel_t) 
     314                fs_read_noxattr_fs_files(kernel_t) 
     315                fs_read_noxattr_fs_symlinks(kernel_t) 
    312316 
    313317                auth_manage_all_files_except_shadow(kernel_t) 

  • upstream/refpolicy/policy/modules/services/dnsmasq.te

    r73 r142  
    11 
    2 policy_module(dnsmasq,1.1.0) 
     2policy_module(dnsmasq,1.1.1) 
    33 
    44######################################## 
    …… 
    2222# 
    2323 
    24 allow dnsmasq_t self:capability { setgid setuid net_bind_service net_raw }; 
     24allow dnsmasq_t self:capability { net_admin setgid setuid net_bind_service net_raw }; 
    2525dontaudit dnsmasq_t self:capability sys_tty_config; 
    26 allow dnsmasq_t self:process signal_perms; 
     26allow dnsmasq_t self:process { setcap signal_perms }; 
     27allow dnsmasq_t self:fifo_file { read write }; 
     28allow dnsmasq_t self:netlink_route_socket { bind create nlmsg_read read write }; 
    2729allow dnsmasq_t self:tcp_socket create_stream_socket_perms; 
    2830allow dnsmasq_t self:udp_socket create_socket_perms; 

  • upstream/refpolicy/policy/modules/system/hotplug.if

    r48 r142  
    161161') 
    162162 
     163######################################## 
     164## <summary> 
     165##      Search the hotplug PIDs. 
     166## </summary> 
     167## <param name="domain"> 
     168##      <summary> 
     169##      Domain allowed access. 
     170##      </summary> 
     171## </param> 
     172# 
     173interface(`hotplug_search_pids',` 
     174        gen_require(` 
     175                type hotplug_var_run_t; 
     176        ') 
     177 
     178        allow $1 hotplug_var_run_t:dir search_dir_perms; 
     179        files_search_pids($1) 
     180') 

  • upstream/refpolicy/policy/modules/system/hotplug.te

    r73 r142  
    11 
    2 policy_module(hotplug,1.3.0) 
     2policy_module(hotplug,1.3.1) 
    33 
    44######################################## 

  • upstream/refpolicy/policy/modules/system/init.fc

    r48 r142  
    1212ifdef(`distro_gentoo',` 
    1313/etc/vmware/init\.d/vmware --   gen_context(system_u:object_r:initrc_exec_t,s0) 
     14/etc/x11/startDM.sh     --      gen_context(system_u:object_r:initrc_exec_t,s0) 
    1415') 
    1516 

  • upstream/refpolicy/policy/modules/system/init.if

    r73 r142  
    10751075######################################## 
    10761076## <summary> 
     1077##      Get the attributes of init script 
     1078##      status files. 
     1079## </summary> 
     1080## <param name="domain"> 
     1081##      <summary> 
     1082##      Domain allowed access. 
     1083##      </summary> 
     1084## </param> 
     1085# 
     1086interface(`init_getattr_script_status_files',` 
     1087        gen_require(` 
     1088                type initrc_state_t; 
     1089        ') 
     1090 
     1091        allow $1 initrc_state_t:dir search_dir_perms; 
     1092        allow $1 initrc_state_t:file getattr; 
     1093') 
     1094 
     1095######################################## 
     1096## <summary> 
    10771097##      Do not audit attempts to read init script 
    10781098##      status files. 

  • upstream/refpolicy/policy/modules/system/init.te

    r119 r142  
    11 
    2 policy_module(init,1.4.1) 
     2policy_module(init,1.4.3) 
    33 
    44gen_require(` 

  • upstream/refpolicy/policy/modules/system/lvm.fc

    r48 r142  
    33# configure LVM to put lockfiles in /etc/lvm/lock instead 
    44# for this policy to work (unless you have no separate /var) 
     5 
     6# 
     7# /bin 
     8# 
     9ifdef(`distro_gentoo',` 
     10/bin/cryptsetup         --      gen_context(system_u:object_r:lvm_exec_t,s0) 
     11') 
    512 
    613# 

  • upstream/refpolicy/policy/modules/system/lvm.te

    r73 r142  
    11 
    2 policy_module(lvm,1.4.0) 
     2policy_module(lvm,1.4.1) 
    33 
    44######################################## 

  • upstream/refpolicy/policy/modules/system/selinuxutil.te

    r119 r142  
    11 
    2 policy_module(selinuxutil,1.3.3) 
     2policy_module(selinuxutil,1.3.4) 
    33 
    44ifdef(`strict_policy',` 
    …… 
    618618userdom_search_sysadm_home_dirs(semanage_t) 
    619619 
    620 ifdef(`targeted_policy',` 
     620# cjp: need a more general way to handle this: 
     621ifdef(`enable_mls',` 
     622        # read secadm tmp files 
     623',` 
    621624        # Handle pp files created in homedir and /tmp 
    622         files_read_generic_tmp_files(semanage_t) 
    623         userdom_read_generic_user_home_content_files(semanage_t) 
     625        userdom_read_sysadm_home_content_files(semanage_t) 
     626        userdom_read_sysadm_tmp_files(semanage_t) 
    624627') 
    625628 

  • upstream/refpolicy/policy/modules/system/udev.te

    r73 r142  
    11 
    2 policy_module(udev,1.4.0) 
     2policy_module(udev,1.4.1) 
    33 
    44######################################## 
    …… 
    137137 
    138138modutils_domtrans_insmod(udev_t) 
     139# read modules.inputmap: 
     140modutils_read_module_deps(udev_t) 
    139141 
    140142seutil_read_config(udev_t) 
    …… 
    148150userdom_use_sysadm_ttys(udev_t) 
    149151userdom_dontaudit_search_all_users_home_content(udev_t) 
     152 
     153ifdef(`distro_gentoo',` 
     154        # during boot, init scripts use /dev/.rcsysinit 
     155        # existance to determine if we are in early booting 
     156        init_getattr_script_status_files(udev_t) 
     157') 
    150158 
    151159ifdef(`distro_redhat',` 
    …… 
    184192optional_policy(` 
    185193        hotplug_read_config(udev_t) 
     194        # usb.agent searches /var/run/usb 
     195        hotplug_search_pids(udev_t) 
    186196') 
    187197 

  • upstream/refpolicy/policy/modules/system/userdomain.if

    r119 r142  
    2323# 
    2424template(`userdom_base_user_template',` 
     25 
     26        gen_require(` 
     27                class context contains; 
     28        ') 
     29 
    2530        attribute $1_file_type; 
    2631 
    …… 
    5055        allow $1_t self:msgq create_msgq_perms; 
    5156        allow $1_t self:msg { send receive }; 
     57        allow $1_t self:context contains; 
    5258        dontaudit $1_t self:socket create; 
    5359 
    …… 
    44874493# 
    44884494interface(`userdom_read_sysadm_home_content_files',` 
    4489         gen_require(` 
    4490                 type sysadm_home_dir_t, sysadm_home_t; 
    4491         ') 
    4492  
    4493         files_search_home($1) 
    4494         allow $1 { sysadm_home_dir_t sysadm_home_t }:dir r_dir_perms; 
    4495         allow $1 sysadm_home_t:{ file lnk_file } r_file_perms; 
     4495        ifdef(`strict_policy',` 
     4496                gen_require(` 
     4497                        type sysadm_home_dir_t, sysadm_home_t; 
     4498                ') 
     4499 
     4500                files_search_home($1) 
     4501                allow $1 { sysadm_home_dir_t sysadm_home_t }:dir r_dir_perms; 
     4502                allow $1 sysadm_home_t:{ file lnk_file } r_file_perms; 
     4503        ',` 
     4504                userdom_read_generic_user_home_content_files($1) 
     4505        ') 
     4506') 
     4507 
     4508######################################## 
     4509## <summary> 
     4510##      Read files in the sysadm users home directory. 
     4511## </summary> 
     4512## <param name="domain"> 
     4513##      <summary> 
     4514##      Domain allowed access. 
     4515##      </summary> 
     4516## </param> 
     4517# 
     4518interface(`userdom_read_sysadm_tmp_files',` 
     4519        ifdef(`strict_policy',` 
     4520                gen_require(` 
     4521                        type sysadm_tmp_t; 
     4522                ') 
     4523 
     4524                files_search_tmp($1) 
     4525                allow $1 sysadm_tmp_t:dir list_dir_perms; 
     4526                allow $1 sysadm_tmp_t:{ file lnk_file } r_file_perms; 
     4527        ',` 
     4528                files_read_generic_tmp_files($1) 
     4529        ') 
    44964530') 
    44974531 

  • upstream/refpolicy/policy/modules/system/userdomain.te

    r119 r142  
    11 
    2 policy_module(userdomain,2.0.1) 
     2policy_module(userdomain,2.0.3) 
    33 
    44gen_require(` 

  • upstream/refpolicy/support/Makefile.devel

    r119 r142  
    134134endef 
    135135 
    136 .PHONY: clean all xml load 
     136.PHONY: clean all xml load reload 
    137137.SUFFIXES: 
    138138.SUFFIXES: .pp 
    …… 
    155155 
    156156load: tmp/loaded 
    157  
    158 tmp/loaded reload: $(all_packages) 
    159         @$(EINFO) "Loading $(NAME) modules: $(basename $(notdir $(all_packages)))" 
     157tmp/loaded: $(all_packages) 
     158        @$(EINFO) "Loading $(NAME) modules: $(basename $(notdir $?))" 
     159        $(verbose) $(SEMODULE) $(foreach mod,$?,-i $(mod)) 
     160        @mkdir -p tmp 
     161        @touch tmp/loaded 
     162 
     163reload: $(all_packages) 
     164        @$(EINFO) "Loading $(NAME) modules: $(basename $(notdir $^))" 
    160165        $(verbose) $(SEMODULE) $(foreach mod,$^,-i $(mod)) 
    161166        @mkdir -p tmp