Changeset 2820

Show
Ignore:
Timestamp:
09/25/08 10:34:32 (2 months ago)
Author:
cpebenito
Message:

rbacsep: update to trunk 2819.

Files:

Legend:

Unmodified
Added
Removed
Modified
Copied
Moved

  • branches/rbacsep/Changelog

    r2789 r2820  
     1- Debian update for NetworkManager/wpa_supplicant from Martin Orr. 
     2- Logrotate and Bind updates from Vaclav Ovsik. 
     3- Init script file and domain support. 
    14- Glibc 2.7 fix from Vaclav Ovsik. 
    25- Samba/winbind update from Mike Edenfield. 
    …… 
    1114  named pipe.  Updated init_telinit() to match. 
    1215- Added modules: 
     16        cyphesis (Dan Walsh) 
    1317        w3c (Dan Walsh) 
    1418 

  • branches/rbacsep/policy/mls

    r2675 r2820  
    573573# 
    574574 
    575 # the x_application_data "paste" ops (explicit single level) 
     575# the x_application_data "paste" ops 
    576576mlsconstrain x_application_data { paste } 
    577         ( l1 eq l2 ); 
    578  
    579 # the x_application_data "paste_after_confirm" ops (downgrade permitted) 
     577        ( l1 domby l2 ); 
     578 
     579# the x_application_data "paste_after_confirm" ops 
    580580mlsconstrain x_application_data { paste_after_confirm } 
    581         ( l1 domby l2 ); 
    582  
    583  
    584 # 
    585 # MLS policy for the pax class 
    586 # 
    587  
    588 # these access vectors have no MLS restrictions 
    589 # pax { pageexec emutramp mprotect randmmap randexec segmexec } 
    590  
     581        ( l1 dom l2 ); 
    591582 
    592583 

  • branches/rbacsep/policy/modules/admin/firstboot.te

    r2789 r2820  
    11 
    2 policy_module(firstboot, 1.7.1) 
     2policy_module(firstboot, 1.7.2) 
    33 
    44gen_require(` 
    …… 
    119119') 
    120120 
     121optional_policy(` 
     122        xserver_rw_shm(firstboot_t) 
     123') 
     124 
    121125ifdef(`TODO',` 
    122126allow firstboot_t proc_t:file write; 

  • branches/rbacsep/policy/modules/admin/kudzu.te

    r2782 r2820  
    11 
    2 policy_module(kudzu, 1.6.1) 
     2policy_module(kudzu, 1.6.2) 
    33 
    44######################################## 
    …… 
    2222# 
    2323 
    24 allow kudzu_t self:capability { dac_override sys_admin sys_rawio net_admin sys_tty_config mknod }; 
    25 dontaudit kudzu_t self:capability { sys_ptrace sys_tty_config }; 
     24allow kudzu_t self:capability { dac_override sys_admin sys_ptrace sys_rawio net_admin sys_tty_config mknod }; 
     25dontaudit kudzu_t self:capability sys_tty_config; 
    2626allow kudzu_t self:process { signal_perms execmem }; 
    2727allow kudzu_t self:fifo_file rw_fifo_file_perms; 
    …… 
    6969modutils_read_module_config(kudzu_t) 
    7070modutils_rename_module_config(kudzu_t) 
     71modutils_delete_module_config(kudzu_t) 
    7172 
    7273storage_read_scsi_generic(kudzu_t) 
    …… 
    104105init_use_script_ptys(kudzu_t) 
    105106init_stream_connect_script(kudzu_t) 
     107init_read_state(kudzu_t) 
     108init_ptrace(kudzu_t) 
    106109# kudzu will telinit to make init re-read 
    107110# the inittab after configuring serial consoles 

  • branches/rbacsep/policy/modules/admin/logrotate.te

    r2782 r2820  
    11 
    2 policy_module(logrotate, 1.9.1) 
     2policy_module(logrotate, 1.9.2) 
    33 
    44######################################## 
    …… 
    134134        # for syslogd-listfiles 
    135135        logging_read_syslog_config(logrotate_t) 
     136 
     137        # for "test -x /sbin/syslogd" 
     138        logging_check_exec_syslog(logrotate_t) 
    136139') 
    137140 

  • branches/rbacsep/policy/modules/admin/readahead.te

    r2782 r2820  
    11 
    2 policy_module(readahead, 1.6.0) 
     2policy_module(readahead, 1.6.1) 
    33 
    44######################################## 
    …… 
    6060fs_dontaudit_read_ramfs_files(readahead_t) 
    6161fs_read_tmpfs_symlinks(readahead_t) 
     62fs_list_inotifyfs(readahead_t) 
    6263 
    6364mls_file_read_all_levels(readahead_t) 

  • branches/rbacsep/policy/modules/kernel/corenetwork.te.in

    r2782 r2820  
    11 
    2 policy_module(corenetwork, 1.2.17) 
     2policy_module(corenetwork, 1.2.19) 
    33 
    44######################################## 
    …… 
    8383network_port(cluster, tcp,5149,s0, udp,5149,s0, tcp,40040,s0, tcp,50006,s0, udp,50006,s0, tcp,50007,s0, udp,50007,s0, tcp,50008,s0, udp,50008,s0) 
    8484network_port(comsat, udp,512,s0) 
     85network_port(cyphesis, tcp,6767,s0, tcp,6769,s0, udp,32771,s0) 
    8586network_port(cvs, tcp,2401,s0, udp,2401,s0) 
    8687network_port(dcc, udp,6276,s0, udp,6277,s0) 
    …… 
    135136network_port(pegasus_https, tcp,5989,s0) 
    136137network_port(postfix_policyd, tcp,10031,s0) 
     138network_port(pgpkeyserver, udp,11371,s0, tcp,11371,s0) 
    137139network_port(pop, tcp,106,s0, tcp,109,s0, tcp,110,s0, tcp,143,s0, tcp,220,s0, tcp,993,s0, tcp,995,s0, tcp,1109,s0) 
    138140network_port(portmap, udp,111,s0, tcp,111,s0) 
    …… 
    150152network_port(rlogind, tcp,513,s0) 
    151153network_port(rndc, tcp,953,s0) 
    152 network_port(router, udp,520,s0) 
     154network_port(router, udp,520,s0, udp,521,s0, tcp,521,s0) 
    153155network_port(rsh, tcp,514,s0) 
    154156network_port(rsync, tcp,873,s0, udp,873,s0) 
    155157network_port(rwho, udp,513,s0) 
    156 network_port(smbd, tcp,139,s0, tcp,445,s0) 
     158network_port(smbd, tcp,137-139,s0, tcp,445,s0) 
    157159network_port(smtp, tcp,25,s0, tcp,465,s0, tcp,587,s0) 
    158160network_port(snmp, udp,161,s0, udp,162,s0, tcp,199,s0) 
    …… 
    174176network_port(vnc, tcp,5900,s0) 
    175177network_port(wccp, udp,2048,s0) 
     178network_port(whois, tcp,43,s0, udp,43,s0) 
    176179network_port(xdmcp, udp,177,s0, tcp,177,s0) 
    177180network_port(xen, tcp,8002,s0) 

  • branches/rbacsep/policy/modules/services/apcupsd.if

    r2782 r2820  
    9191## </param> 
    9292# 
    93 interface(`httpd_apcupsd_cgi_script_domtrans',` 
     93interface(`apcupsd_cgi_script_domtrans',` 
    9494        gen_require(` 
    9595                type httpd_apcupsd_cgi_script_t, httpd_apcupsd_cgi_script_exec_t; 

  • branches/rbacsep/policy/modules/services/apcupsd.te

    r2782 r2820  
    11 
    2 policy_module(apcupsd, 1.3.0) 
     2policy_module(apcupsd, 1.3.1) 
    33 
    44######################################## 

  • branches/rbacsep/policy/modules/services/bind.fc

    r2452 r2820  
     1/etc/rc.d/init.d/named  --      gen_context(system_u:object_r:named_initrc_exec_t,s0) 
    12/etc/rndc.*             --      gen_context(system_u:object_r:named_conf_t,s0) 
    23/etc/rndc\.key          --      gen_context(system_u:object_r:dnssec_t,s0) 
    …… 
    1617/etc/bind(/.*)?                 gen_context(system_u:object_r:named_zone_t,s0) 
    1718/etc/bind/named\.conf   --      gen_context(system_u:object_r:named_conf_t,s0) 
     19/etc/bind/named\.conf\.local -- gen_context(system_u:object_r:named_conf_t,s0) 
     20/etc/bind/named\.conf\.options -- gen_context(system_u:object_r:named_conf_t,s0) 
    1821/etc/bind/rndc\.key     --      gen_context(system_u:object_r:dnssec_t,s0) 
    1922/var/cache/bind(/.*)?           gen_context(system_u:object_r:named_cache_t,s0) 

  • branches/rbacsep/policy/modules/services/bind.if

    r2782 r2820  
    255255        refpolicywarn(`$0($*) has been deprecated.') 
    256256') 
     257 
     258######################################## 
     259## <summary> 
     260##      All of the rules required to administrate  
     261##      an bind environment 
     262## </summary> 
     263## <param name="domain"> 
     264##      <summary> 
     265##      Domain allowed access. 
     266##      </summary> 
     267## </param> 
     268## <rolecap/> 
     269# 
     270interface(`bind_admin',` 
     271        gen_require(` 
     272                type named_t, ndc_t; 
     273        ') 
     274 
     275        allow $1 named_t:process { ptrace signal_perms }; 
     276        ps_process_pattern($1, named_t) 
     277                 
     278        allow $1 ndc_t:process { ptrace signal_perms }; 
     279        ps_process_pattern($1, ndc_t) 
     280                 
     281        bind_run_ndc($1, $2, $3) 
     282') 

  • branches/rbacsep/policy/modules/services/bind.te

    r2782 r2820  
    11 
    2 policy_module(bind, 1.7.0) 
     2policy_module(bind, 1.7.2) 
    33 
    44######################################## 
    …… 
    3636files_type(named_cache_t) 
    3737 
     38type named_initrc_exec_t; 
     39init_script_file(named_initrc_exec_t) 
     40 
    3841type named_log_t; 
    3942logging_log_file(named_log_t) 
    …… 
    6164allow named_t self:capability { chown dac_override fowner setgid setuid sys_chroot sys_nice sys_resource }; 
    6265dontaudit named_t self:capability sys_tty_config; 
    63 allow named_t self:process { setsched setcap setrlimit signal_perms }; 
     66allow named_t self:process { setsched getcap setcap setrlimit signal_perms }; 
    6467allow named_t self:fifo_file rw_fifo_file_perms; 
    6568allow named_t self:unix_stream_socket create_stream_socket_perms; 
    …… 
    223226corenet_tcp_sendrecv_all_nodes(ndc_t) 
    224227corenet_tcp_sendrecv_all_ports(ndc_t) 
     228corenet_tcp_bind_all_nodes(ndc_t) 
    225229corenet_tcp_connect_rndc_port(ndc_t) 
    226230corenet_sendrecv_rndc_client_packets(ndc_t) 

  • branches/rbacsep/policy/modules/services/courier.te

    r2782 r2820  
    11 
    2 policy_module(courier, 1.5.1) 
     2policy_module(courier, 1.5.2) 
    33 
    44######################################## 
    …… 
    2828 
    2929type courier_exec_t; 
    30 files_type(courier_exec_t) 
     30mta_agent_executable(courier_exec_t) 
    3131 
    3232courier_domain_template(sqwebmail) 

  • branches/rbacsep/policy/modules/services/cups.te

    r2782 r2820  
    11 
    2 policy_module(cups, 1.10.0) 
     2policy_module(cups, 1.10.1) 
    33 
    44######################################## 
    …… 
    570570 
    571571optional_policy(` 
     572        dbus_system_bus_client(hplip_t) 
     573') 
     574 
     575optional_policy(` 
    572576        seutil_sigchld_newrole(hplip_t) 
    573577') 

  • branches/rbacsep/policy/modules/services/cvs.if

    r2782 r2820  
    3737        can_exec($1, cvs_exec_t) 
    3838') 
     39 
     40######################################## 
     41## <summary> 
     42##      All of the rules required to administrate  
     43##      an cvs environment 
     44## </summary> 
     45## <param name="domain"> 
     46##      <summary> 
     47##      Domain allowed access. 
     48##      </summary> 
     49## </param> 
     50## <param name="role"> 
     51##      <summary> 
     52##      The role to be allowed to manage the cvs domain. 
     53##      </summary> 
     54## </param> 
     55## <rolecap/> 
     56# 
     57interface(`cvs_admin',` 
     58        gen_require(` 
     59                type cvs_t, cvs_tmp_t; 
     60                type cvs_data_t, cvs_var_run_t; 
     61                type cvs_initrc_exec_t; 
     62        ') 
     63 
     64        allow $1 cvs_t:process { ptrace signal_perms }; 
     65        ps_process_pattern($1, cvs_t) 
     66                 
     67        # Allow cvs_t to restart the apache service 
     68        init_labeled_script_domtrans($1, cvs_initrc_exec_t) 
     69        domain_system_change_exemption($1) 
     70        role_transition $2 cvs_initrc_exec_t system_r; 
     71        allow $2 system_r; 
     72') 

  • branches/rbacsep/policy/modules/services/cvs.te

    r2782 r2820  
    11 
    2 policy_module(cvs, 1.6.0) 
     2policy_module(cvs, 1.6.1) 
    33 
    44######################################## 
    …… 
    2222type cvs_data_t; # customizable 
    2323files_type(cvs_data_t) 
     24 
     25type cvs_initrc_exec_t; 
     26init_script_file(cvs_initrc_exec_t) 
    2427 
    2528type cvs_tmp_t; 
    …… 
    7073 
    7174auth_domtrans_chk_passwd(cvs_t) 
     75auth_use_nsswitch(cvs_t) 
    7276 
    7377corecmd_exec_bin(cvs_t) 
    …… 
    8791miscfiles_read_localization(cvs_t) 
    8892 
    89 sysnet_read_config(cvs_t) 
    90  
    9193mta_send_mail(cvs_t) 
    9294 
    …… 
    98100 
    99101optional_policy(` 
    100         kerberos_use(cvs_t) 
    101102        kerberos_read_keytab(cvs_t) 
    102103        kerberos_read_config(cvs_t) 
    103104        kerberos_dontaudit_write_config(cvs_t) 
    104105') 
    105  
    106 optional_policy(` 
    107         nis_use_ypbind(cvs_t) 
    108 ') 
    109  
    110 optional_policy(` 
    111         nscd_socket_use(cvs_t) 
    112 ') 

  • branches/rbacsep/policy/modules/services/cyphesis.te

    r2796 r2820  
    7777optional_policy(` 
    7878        avahi_dbus_chat(cyphesis_t) 
    79         dbus_system_bus_client_template(cyphesis, cyphesis_t) 
     79        dbus_system_bus_client(cyphesis_t) 
    8080') 
    8181 

  • branches/rbacsep/policy/modules/services/fail2ban.fc

    r2441 r2820  
     1/etc/rc\.d/init\.d/fail2ban --  gen_context(system_u:object_r:fail2ban_initrc_exec_t,s0) 
     2 
    13/usr/bin/fail2ban       --      gen_context(system_u:object_r:fail2ban_exec_t,s0) 
     4/usr/bin/fail2ban-server --     gen_context(system_u:object_r:fail2ban_exec_t,s0) 
    25/var/log/fail2ban\.log  --      gen_context(system_u:object_r:fail2ban_log_t,s0) 
    36/var/run/fail2ban\.pid  --      gen_context(system_u:object_r:fail2ban_var_run_t,s0) 
     7/var/run/fail2ban\.sock -s      gen_context(system_u:object_r:fail2ban_var_run_t,s0) 

  • branches/rbacsep/policy/modules/services/fail2ban.te

    r2782 r2820  
    11 
    2 policy_module(fail2ban, 1.1.0) 
     2policy_module(fail2ban, 1.1.1) 
    33 
    44######################################## 
    …… 
    1010type fail2ban_exec_t; 
    1111init_daemon_domain(fail2ban_t, fail2ban_exec_t) 
     12 
     13type fail2ban_initrc_exec_t; 
     14init_script_file(fail2ban_initrc_exec_t) 
    1215 
    1316# log files 
    …… 
    2629allow fail2ban_t self:process signal; 
    2730allow fail2ban_t self:fifo_file rw_fifo_file_perms; 
    28 allow fail2ban_t self:unix_stream_socket create_stream_socket_perms; 
     31allow fail2ban_t self:unix_stream_socket { connectto create_stream_socket_perms }; 
     32allow fail2ban_t self:tcp_socket create_stream_socket_perms; 
    2933 
    3034# log files 
    …… 
    3438 
    3539# pid file 
     40manage_sock_files_pattern(fail2ban_t, fail2ban_var_run_t, fail2ban_var_run_t) 
    3641manage_files_pattern(fail2ban_t, fail2ban_var_run_t, fail2ban_var_run_t) 
    37 files_pid_filetrans(fail2ban_t, fail2ban_var_run_t, file) 
     42files_pid_filetrans(fail2ban_t, fail2ban_var_run_t, { file sock_file }) 
    3843 
    3944kernel_read_system_state(fail2ban_t) 
    …… 
    4247corecmd_exec_shell(fail2ban_t) 
    4348 
     49corenet_all_recvfrom_unlabeled(fail2ban_t) 
     50corenet_all_recvfrom_netlabel(fail2ban_t) 
     51corenet_tcp_sendrecv_generic_if(fail2ban_t) 
     52corenet_tcp_sendrecv_all_nodes(fail2ban_t) 
     53corenet_tcp_sendrecv_all_ports(fail2ban_t) 
     54corenet_tcp_connect_whois_port(fail2ban_t) 
     55corenet_sendrecv_whois_client_packets(fail2ban_t) 
     56 
    4457dev_read_urand(fail2ban_t) 
    4558 
    …… 
    4760 
    4861files_read_etc_files(fail2ban_t) 
     62files_read_etc_runtime_files(fail2ban_t) 
    4963files_read_usr_files(fail2ban_t) 
     64files_list_var(fail2ban_t) 
     65files_search_var_lib(fail2ban_t) 
     66 
     67fs_list_inotifyfs(fail2ban_t) 
     68fs_getattr_all_fs(fail2ban_t) 
     69 
     70auth_use_nsswitch(fail2ban_t) 
    5071 
    5172libs_use_ld_so(fail2ban_t) 
    5273libs_use_shared_libs(fail2ban_t) 
    5374 
    54 logging_read_generic_logs(fail2ban_t) 
     75logging_read_all_logs(fail2ban_t) 
    5576 
    5677miscfiles_read_localization(fail2ban_t) 
     78 
     79mta_send_mail(fail2ban_t) 
    5780 
    5881optional_policy(` 

  • branches/rbacsep/policy/modules/services/inetd.if

    r2782 r2820  
    116116        allow $1 inetd_t:tcp_socket rw_stream_socket_perms; 
    117117        allow $1 inetd_t:udp_socket rw_socket_perms; 
     118 
     119        # encrypt the service through stunnel 
     120        optional_policy(` 
     121                stunnel_service_domain($1, $2) 
     122        ') 
    118123') 
    119124 

  • branches/rbacsep/policy/modules/services/inetd.te

    r2782 r2820  
    11 
    2 policy_module(inetd, 1.7.0) 
     2policy_module(inetd, 1.7.1) 
    33 
    44######################################## 
    …… 
    3030type inetd_child_var_run_t; 
    3131files_pid_file(inetd_child_var_run_t) 
     32 
     33ifdef(`enable_mcs',` 
     34        init_ranged_daemon_domain(inetd_t, inetd_exec_t, s0 - mcs_systemhigh) 
     35') 
    3236 
    3337######################################## 
    …… 
    5963kernel_read_system_state(inetd_t) 
    6064kernel_tcp_recvfrom_unlabeled(inetd_t) 
     65 
     66corecmd_bin_domtrans(inetd_t, inetd_child_t) 
    6167 
    6268# base networking: 
    …… 
    8591corenet_tcp_bind_inetd_child_port(inetd_t) 
    8692corenet_udp_bind_inetd_child_port(inetd_t) 
     93corenet_tcp_bind_ircd_port(inetd_t) 
    8794corenet_udp_bind_ktalkd_port(inetd_t) 
    8895corenet_tcp_bind_printer_port(inetd_t) 
    …… 
    106113corenet_sendrecv_ftp_server_packets(inetd_t) 
    107114corenet_sendrecv_inetd_child_server_packets(inetd_t) 
     115corenet_sendrecv_ircd_server_packets(inetd_t) 
    108116corenet_sendrecv_ktalkd_server_packets(inetd_t) 
    109117corenet_sendrecv_printer_server_packets(inetd_t) 
    …… 
    149157sysadm_dontaudit_search_home_dirs(inetd_t) 
    150158 
     159ifdef(`distro_redhat',` 
     160        optional_policy(` 
     161                unconfined_domain(inetd_t) 
     162        ') 
     163') 
     164 
    151165ifdef(`enable_mls',` 
    152166        corenet_tcp_recvfrom_netlabel(inetd_t) 
    153167        corenet_udp_recvfrom_netlabel(inetd_t) 
    154168') 
     169 
    155170optional_policy(` 
    156171        amanda_search_lib(inetd_t) 

  • branches/rbacsep/policy/modules/services/mta.fc

    r1970 r2820  
     1/bin/mail               --      gen_context(system_u:object_r:sendmail_exec_t,s0) 
    12 
    23/etc/aliases            --      gen_context(system_u:object_r:etc_aliases_t,s0) 

  • branches/rbacsep/policy/modules/services/mta.if

    r2782 r2820  
    190190        init_daemon_domain($1,$2) 
    191191        typeattribute $1 mailserver_domain; 
     192') 
     193 
     194######################################## 
     195## <summary> 
     196##      Make the specified type a MTA executable file. 
     197## </summary> 
     198## <param name="type"> 
     199##      <summary> 
     200##      Type to be used as a mail client. 
     201##      </summary> 
     202## </param> 
     203# 
     204interface(`mta_agent_executable',` 
     205        gen_require(` 
     206                attribute mta_exec_type; 
     207        ') 
     208 
     209        typeattribute $1 mta_exec_type; 
     210 
     211        application_executable_file($1) 
     212') 
     213 
     214######################################## 
     215## <summary> 
     216##      Make the specified type by a system MTA. 
     217## </summary> 
     218## <param name="type"> 
     219##      <summary> 
     220##      Type to be used as a mail client. 
     221##      </summary> 
     222## </param> 
     223# 
     224interface(`mta_system_content',` 
     225        gen_require(` 
     226                attribute mailcontent_type; 
     227        ') 
     228 
     229        typeattribute $1 mailcontent_type; 
    192230') 
    193231 
    …… 
    323361        gen_require(` 
    324362                attribute mta_user_agent; 
    325                 type system_mail_t, sendmail_exec_t; 
    326         ') 
    327  
    328         allow $1 sendmail_exec_t:lnk_file read_lnk_file_perms; 
    329         domain_auto_trans($1, sendmail_exec_t, system_mail_t) 
    330  
    331         allow $1 system_mail_t:fd use; 
    332         allow system_mail_t $1:fd use; 
    333         allow system_mail_t $1:fifo_file rw_file_perms; 
    334         allow system_mail_t $1:process sigchld; 
     363                type system_mail_t; 
     364                attribute mta_exec_type; 
     365        ') 
     366 
     367        allow $1 mta_exec_type:lnk_file read_lnk_file_perms; 
     368        domtrans_pattern($1, mta_exec_type, system_mail_t) 
    335369 
    336370        allow mta_user_agent $1:fd use; 

  • branches/rbacsep/policy/modules/services/mta.te

    r2790 r2820  
    11 
    2 policy_module(mta, 1.10.0) 
     2policy_module(mta, 1.10.1) 
    33 
    44######################################## 
    …… 
    77# 
    88 
     9attribute mailcontent_type; 
     10attribute mta_exec_type; 
    911attribute mta_user_agent; 
    1012attribute mailserver_delivery; 
    …… 
    2123 
    2224type mqueue_spool_t; 
    23 files_type(mqueue_spool_t) 
     25files_mountpoint(mqueue_spool_t) 
    2426 
    2527type mail_spool_t; 
    26 files_type(mail_spool_t) 
     28files_mountpoint(mail_spool_t) 
    2729 
    2830type sendmail_exec_t; 
    29 application_executable_file(sendmail_exec_t) 
     31mta_agent_executable(sendmail_exec_t) 
    3032 
    3133mta_base_mail_template(system) 
    …… 
    4951 
    5052read_files_pattern(system_mail_t, etc_mail_t, etc_mail_t) 
     53 
     54allow system_mail_t mta_exec_type:file entrypoint; 
     55 
     56allow system_mail_t mailcontent_type:file read_file_perms; 
    5157 
    5258kernel_read_system_state(system_mail_t) 

  • branches/rbacsep/policy/modules/services/networkmanager.fc

    r2409 r2820  
     1/sbin/wpa_cli                   --      gen_context(system_u:object_r:wpa_cli_exec_t,s0) 
     2/sbin/wpa_supplicant            --      gen_context(system_u:object_r:NetworkManager_exec_t,s0) 
     3 
    14/usr/s?bin/NetworkManager       --      gen_context(system_u:object_r:NetworkManager_exec_t,s0) 
    25/usr/s?bin/wpa_supplicant       --      gen_context(system_u:object_r:NetworkManager_exec_t,s0) 
     6 
     7/var/log/wpa_supplicant.*       --      gen_context(system_u:object_r:NetworkManager_log_t,s0) 
    38 
    49/var/run/NetworkManager\.pid    --      gen_context(system_u:object_r:NetworkManager_var_run_t,s0) 

  • branches/rbacsep/policy/modules/services/networkmanager.if

    r2782 r2820  
    9898        allow NetworkManager_t $1:dbus send_msg; 
    9999') 
     100 
     101######################################## 
     102## <summary> 
     103##      Send a generic signal to NetworkManager 
     104## </summary> 
     105## <param name="domain"> 
     106##      <summary> 
     107##      Domain allowed access. 
     108##      </summary> 
     109## </param> 
     110# 
     111interface(`networkmanager_signal',` 
     112        gen_require(` 
     113                type NetworkManager_t; 
     114        ') 
     115 
     116        allow $1 NetworkManager_t:process signal; 
     117') 
     118 
     119######################################## 
     120## <summary> 
     121##      Read NetworkManager PID files. 
     122## </summary> 
     123## <param name="domain"> 
     124##      <summary> 
     125##      Domain allowed access. 
     126##      </summary> 
     127## </param> 
     128# 
     129interface(`networkmanager_read_pid_files',` 
     130        gen_require(` 
     131                type NetworkManager_var_run_t; 
     132        ') 
     133 
     134        files_search_pids($1) 
     135        allow $1 NetworkManager_var_run_t:file read_file_perms; 
     136') 

  • branches/rbacsep/policy/modules/services/networkmanager.te

    r2782 r2820  
    11 
    2 policy_module(networkmanager, 1.10.0) 
     2policy_module(networkmanager, 1.10.3) 
    33 
    44######################################## 
    …… 
    1111init_daemon_domain(NetworkManager_t, NetworkManager_exec_t) 
    1212 
     13type NetworkManager_initrc_exec_t; 
     14init_script_file(NetworkManager_initrc_exec_t) 
     15 
     16type NetworkManager_log_t; 
     17logging_log_file(NetworkManager_log_t) 
     18 
     19type NetworkManager_tmp_t; 
     20files_tmp_file(NetworkManager_tmp_t) 
     21 
    1322type NetworkManager_var_run_t; 
    1423files_pid_file(NetworkManager_var_run_t) 
     24 
     25type wpa_cli_t; 
     26type wpa_cli_exec_t; 
     27init_system_domain(wpa_cli_t, wpa_cli_exec_t) 
    1528 
    1629######################################## 
    …… 
    3245allow NetworkManager_t self:packet_socket create_socket_perms; 
    3346 
     47allow NetworkManager_t wpa_cli_t:unix_dgram_socket sendto; 
     48 
    3449can_exec(NetworkManager_t, NetworkManager_exec_t) 
     50 
     51manage_files_pattern(NetworkManager_t, NetworkManager_log_t, NetworkManager_log_t) 
     52logging_log_filetrans(NetworkManager_t, NetworkManager_log_t, file) 
     53 
     54rw_sock_files_pattern(NetworkManager_t, NetworkManager_tmp_t, NetworkManager_tmp_t) 
     55files_search_tmp(NetworkManager_t) 
    3556 
    3657manage_dirs_pattern(NetworkManager_t, NetworkManager_var_run_t, NetworkManager_var_run_t) 
    …… 
    176197        vpn_signal(NetworkManager_t) 
    177198') 
     199 
     200######################################## 
     201# 
     202# wpa_cli local policy 
     203# 
     204 
     205allow wpa_cli_t self:capability dac_override; 
     206allow wpa_cli_t self:unix_dgram_socket create_socket_perms; 
     207 
     208allow wpa_cli_t NetworkManager_t:unix_dgram_socket sendto; 
     209 
     210manage_sock_files_pattern(wpa_cli_t, NetworkManager_tmp_t, NetworkManager_tmp_t) 
     211files_tmp_filetrans(wpa_cli_t, NetworkManager_tmp_t, sock_file) 
     212 
     213list_dirs_pattern(wpa_cli_t, NetworkManager_var_run_t, NetworkManager_var_run_t) 
     214rw_sock_files_pattern(wpa_cli_t, NetworkManager_var_run_t, NetworkManager_var_run_t) 
     215 
     216init_dontaudit_use_fds(wpa_cli_t) 
     217init_use_script_ptys(wpa_cli_t) 
     218 
     219libs_use_ld_so(wpa_cli_t) 
     220libs_use_shared_libs(wpa_cli_t) 
     221 
     222miscfiles_read_localization(wpa_cli_t) 
     223 
     224term_dontaudit_use_console(wpa_cli_t) 

  • branches/rbacsep/policy/modules/services/ntp.fc

    r735 r2820  
    1  
    2 /etc/ntp(d)?\.conf.*            --      gen_context(system_u:object_r:net_conf_t,s0) 
    31 
    42/etc/cron\.(daily|weekly)/ntp-simple -- gen_context(system_u:object_r:ntpd_exec_t,s0) 
    53/etc/cron\.(daily|weekly)/ntp-server -- gen_context(system_u:object_r:ntpd_exec_t,s0) 
    64 
     5/etc/ntpd?\.conf.*              --      gen_context(system_u:object_r:net_conf_t,s0) 
     6/etc/ntp/crypto(/.*)?                   gen_context(system_u:object_r:ntpd_key_t,s0) 
     7/etc/ntp/data(/.*)?                     gen_context(system_u:object_r:ntp_drift_t,s0) 
     8/etc/ntp/keys                   --      gen_context(system_u:object_r:ntpd_key_t,s0) 
    79/etc/ntp/step-tickers.*         --      gen_context(system_u:object_r:net_conf_t,s0) 
    8 /etc/ntp/data(/.*)?                     gen_context(system_u:object_r:ntp_drift_t,s0) 
     10 
     11/etc/rc\.d/init\.d/ntpd         --      gen_context(system_u:object_r:ntpd_initrc_exec_t,s0) 
    912 
    1013/usr/sbin/ntpd                  --      gen_context(system_u:object_r:ntpd_exec_t,s0) 

  • branches/rbacsep/policy/modules/services/ntp.te

    r2789 r2820  
    11 
    2 policy_module(ntp, 1.6.1) 
     2policy_module(ntp, 1.6.2) 
    33 
    44######################################## 
    …… 
    1313type ntpd_exec_t; 
    1414init_daemon_domain(ntpd_t, ntpd_exec_t) 
     15 
     16type ntpd_initrc_exec_t; 
     17init_script_file(ntpd_initrc_exec_t) 
     18 
     19type ntpd_key_t; 
     20files_type(ntpd_key_t) 
    1521 
    1622type ntpd_log_