Changeset 2834

Show
Ignore:
Timestamp:
10/13/08 10:06:23 (2 months ago)
Author:
cpebenito
Message:

trunk: 8 patches from dan.

Files:

Legend:

Unmodified
Added
Removed
Modified
Copied
Moved

  • trunk/policy/modules/admin/alsa.te

    r2742 r2834  
    11 
    2 policy_module(alsa, 1.5.0) 
     2policy_module(alsa, 1.5.1) 
    33 
    44######################################## 
    …… 
    4949files_search_home(alsa_t) 
    5050files_read_etc_files(alsa_t) 
     51files_read_usr_files(alsa_t) 
    5152 
    5253auth_use_nsswitch(alsa_t) 
     54 
     55init_use_fds(alsa_t) 
    5356 
    5457libs_use_ld_so(alsa_t) 

  • trunk/policy/modules/admin/amanda.te

    r2779 r2834  
    11 
    2 policy_module(amanda, 1.9.2) 
     2policy_module(amanda, 1.9.3) 
    33 
    44####################################### 
    …… 
    130130corenet_udp_bind_all_nodes(amanda_t) 
    131131corenet_tcp_bind_all_rpc_ports(amanda_t) 
     132corenet_tcp_bind_generic_port(amanda_t) 
     133corenet_dontaudit_tcp_bind_all_ports(amanda_t) 
    132134 
    133135dev_getattr_all_blk_files(amanda_t) 

  • trunk/policy/modules/admin/mrtg.te

    r2763 r2834  
    11 
    2 policy_module(mrtg, 1.4.0) 
     2policy_module(mrtg, 1.4.1) 
    33 
    44######################################## 
    …… 
    7979 
    8080domain_use_interactive_fds(mrtg_t) 
     81domain_dontaudit_search_all_domains_state(mrtg_t) 
    8182 
    8283files_read_usr_files(mrtg_t) 
    …… 
    9394fs_search_auto_mountpoints(mrtg_t) 
    9495fs_getattr_xattr_fs(mrtg_t) 
     96fs_list_inotifyfs(mrtg_t) 
    9597 
    9698term_dontaudit_use_console(mrtg_t) 
    …… 
    101103init_read_utmp(mrtg_t) 
    102104init_dontaudit_write_utmp(mrtg_t) 
     105 
     106auth_use_nsswitch(mrtg_t) 
    103107 
    104108libs_read_lib_files(mrtg_t) 
    …… 
    112116selinux_dontaudit_getattr_dir(mrtg_t) 
    113117 
    114 # Use the network. 
    115 sysnet_read_config(mrtg_t) 
    116  
    117118userdom_dontaudit_use_unpriv_user_fds(mrtg_t) 
    118119 
    119120sysadm_use_terms(mrtg_t) 
     121sysadm_dontaudit_read_home_content_files(mrtg_t) 
    120122 
    121123ifdef(`enable_mls',` 
    …… 
    141143 
    142144optional_policy(` 
    143         nis_use_ypbind(mrtg_t) 
    144 ') 
    145  
    146 optional_policy(` 
    147         nscd_dontaudit_search_pid(mrtg_t) 
    148 ') 
    149  
    150 optional_policy(` 
    151145        seutil_sigchld_newrole(mrtg_t) 
    152146') 
    …… 
    163157        udev_read_db(mrtg_t) 
    164158') 
    165  
    166 ifdef(`TODO',` 
    167         # should not need this! 
    168         dontaudit mrtg_t { staff_home_dir_t sysadm_home_dir_t }:dir { search read getattr }; 
    169         dontaudit mrtg_t { boot_t device_t file_t lost_found_t }:dir getattr; 
    170         dontaudit mrtg_t root_t:lnk_file getattr; 
    171 ') 

  • trunk/policy/modules/admin/netutils.te

    r2772 r2834  
    11 
    2 policy_module(netutils, 1.6.1) 
     2policy_module(netutils, 1.6.2) 
    33 
    44######################################## 
    …… 
    5151 
    5252kernel_search_proc(netutils_t) 
     53kernel_read_sysctl(netutils_t) 
    5354 
    5455corenet_all_recvfrom_unlabeled(netutils_t) 
    …… 
    7980init_use_script_ptys(netutils_t) 
    8081 
     82auth_use_nsswitch(netutils_t) 
     83 
    8184libs_use_ld_so(netutils_t) 
    8285libs_use_shared_libs(netutils_t) 
    …… 
    8689miscfiles_read_localization(netutils_t) 
    8790 
    88 sysnet_read_config(netutils_t) 
    89  
    9091userdom_use_all_users_fds(netutils_t) 
    9192 
    9293optional_policy(` 
    9394        nis_use_ypbind(netutils_t) 
     95') 
     96 
     97optional_policy(` 
     98        vmware_append_log(netutils_t) 
    9499') 
    95100 
    …… 
    108113allow ping_t self:rawip_socket { create ioctl read write bind getopt setopt }; 
    109114allow ping_t self:packet_socket { create ioctl read write bind getopt setopt }; 
     115allow ping_t self:netlink_route_socket create_netlink_socket_perms; 
    110116 
    111117corenet_all_recvfrom_unlabeled(ping_t) 
    …… 
    114120corenet_raw_sendrecv_all_if(ping_t) 
    115121corenet_raw_sendrecv_all_nodes(ping_t) 
     122corenet_raw_bind_all_nodes(ping_t) 
    116123corenet_tcp_sendrecv_all_nodes(ping_t) 
    117124corenet_tcp_sendrecv_all_ports(ping_t) 
    …… 
    124131files_dontaudit_search_var(ping_t) 
    125132 
     133auth_use_nsswitch(ping_t) 
     134 
    126135libs_use_ld_so(ping_t) 
    127136libs_use_shared_libs(ping_t) 
    …… 
    130139 
    131140miscfiles_read_localization(ping_t) 
    132  
    133 sysnet_read_config(ping_t) 
    134 sysnet_dns_name_resolve(ping_t) 
    135141 
    136142ifdef(`hide_broken_symptoms',` 
    …… 
    144150 
    145151optional_policy(` 
    146         nis_use_ypbind(ping_t) 
    147 ') 
    148  
    149 optional_policy(` 
    150         nscd_socket_use(ping_t) 
    151 ') 
    152  
    153 optional_policy(` 
    154152        pcmcia_use_cardmgr_fds(ping_t) 
    155153') 
    …… 
    167165allow traceroute_t self:rawip_socket create_socket_perms; 
    168166allow traceroute_t self:packet_socket create_socket_perms; 
    169 allow traceroute_t self:netlink_route_socket { bind create getattr nlmsg_read read write }; 
    170167allow traceroute_t self:udp_socket create_socket_perms; 
    171168 
    …… 
    201198init_use_fds(traceroute_t) 
    202199 
     200auth_use_nsswitch(traceroute_t) 
     201 
    203202libs_use_ld_so(traceroute_t) 
    204203libs_use_shared_libs(traceroute_t) 
    …… 
    213212files_read_usr_files(traceroute_t) 
    214213 
    215 sysnet_read_config(traceroute_t) 
    216  
    217214tunable_policy(`user_ping',` 
    218215        term_use_all_user_ttys(traceroute_t) 
    219216        term_use_all_user_ptys(traceroute_t) 
    220217') 
    221  
    222 optional_policy(` 
    223         nis_use_ypbind(traceroute_t) 
    224 ') 
    225  
    226 optional_policy(` 
    227         nscd_socket_use(traceroute_t) 
    228 ') 

  • trunk/policy/modules/admin/vpn.fc

    r2611 r2834  
    77# /usr 
    88# 
     9/usr/bin/openconnect    --      gen_context(system_u:object_r:vpnc_exec_t,s0) 
     10 
    911/usr/sbin/vpnc          --      gen_context(system_u:object_r:vpnc_exec_t,s0) 
    1012 

  • trunk/policy/modules/admin/vpn.te

    r2826 r2834  
    11 
    2 policy_module(vpn, 1.8.1) 
     2policy_module(vpn, 1.8.2) 
    33 
    44######################################## 
    …… 
    2424 
    2525allow vpnc_t self:capability { dac_read_search dac_override net_admin ipc_lock net_raw }; 
    26 allow vpnc_t self:process getsched; 
     26allow vpnc_t self:process { getsched signal }; 
    2727allow vpnc_t self:fifo_file rw_fifo_file_perms; 
    2828allow vpnc_t self:netlink_route_socket rw_netlink_socket_perms; 
    …… 
    4545kernel_read_system_state(vpnc_t) 
    4646kernel_read_network_state(vpnc_t) 
    47 kernel_read_kernel_sysctls(vpnc_t) 
     47kernel_read_all_sysctls(vpnc_t) 
    4848kernel_rw_net_sysctls(vpnc_t) 
    4949 

  • trunk/policy/modules/services/cvs.fc

    r1244 r2834  
    66/var/cvs(/.*)?          gen_context(system_u:object_r:cvs_data_t,s0) 
    77 
     8#CVSWeb file context 
     9/usr/share/cvsweb/cvsweb\.cgi   --      gen_context(system_u:object_r:httpd_cvs_script_exec_t,s0) 
     10/var/www/cgi-bin/cvsweb\.cgi    --      gen_context(system_u:object_r:httpd_cvs_script_exec_t,s0) 

  • trunk/policy/modules/services/cvs.if

    r2818 r2834  
    7070        role_transition $2 cvs_initrc_exec_t system_r; 
    7171        allow $2 system_r; 
     72 
     73        files_list_tmp($1) 
     74        admin_pattern($1, cvs_tmp_t) 
     75 
     76        admin_pattern($1, cvs_data_t) 
     77 
     78        files_list_pids($1) 
     79        admin_pattern($1, cvs_var_run_t) 
    7280') 

  • trunk/policy/modules/services/cvs.te

    r2818 r2834  
    11 
    2 policy_module(cvs, 1.6.1) 
     2policy_module(cvs, 1.6.2) 
    33 
    44######################################## 
    …… 
    100100 
    101101optional_policy(` 
    102         kerberos_read_keytab(cvs_t) 
     102        kerberos_keytab_template(cvs, cvs_t) 
    103103        kerberos_read_config(cvs_t) 
    104104        kerberos_dontaudit_write_config(cvs_t) 
    105105') 
     106 
     107######################################## 
     108# 
     109# CVSWeb policy 
     110# 
     111 
     112optional_policy(` 
     113        apache_content_template(cvs) 
     114 
     115        read_files_pattern(httpd_cvs_script_t, cvs_data_t, cvs_data_t) 
     116        manage_dirs_pattern(httpd_cvs_script_t, cvs_tmp_t, cvs_tmp_t) 
     117        manage_files_pattern(httpd_cvs_script_t, cvs_tmp_t, cvs_tmp_t) 
     118') 

  • trunk/policy/modules/services/cyrus.fc

    r815 r2834  
     1/etc/rc\.d/init\.d/cyrus                --      gen_context(system_u:object_r:cyrus_initrc_exec_t,s0) 
    12 
    23/usr/lib(64)?/cyrus-imapd/cyrus-master  --      gen_context(system_u:object_r:cyrus_exec_t,s0) 

  • trunk/policy/modules/services/cyrus.if

    r2763 r2834  
    4040        stream_connect_pattern($1, cyrus_var_lib_t, cyrus_var_lib_t, cyrus_t) 
    4141') 
     42 
     43######################################## 
     44## <summary> 
     45##      All of the rules required to administrate  
     46##      an cyrus environment 
     47## </summary> 
     48## <param name="domain"> 
     49##      <summary> 
     50##      Domain allowed access. 
     51##      </summary> 
     52## </param> 
     53## <param name="role"> 
     54##      <summary> 
     55##      The role to be allowed to manage the cyrus domain. 
     56##      </summary> 
     57## </param> 
     58## <rolecap/> 
     59# 
     60interface(`cyrus_admin',` 
     61        gen_require(` 
     62                type cyrus_t, cyrus_tmp_t, cyrus_var_lib_t; 
     63                type cyrus_var_run_t, cyrus_initrc_exec_t; 
     64        ') 
     65 
     66        allow $1 cyrus_t:process { ptrace signal_perms }; 
     67        ps_process_pattern($1, cyrus_t) 
     68 
     69        init_labeled_script_domtrans($1, cyrus_initrc_exec_t) 
     70        domain_system_change_exemption($1) 
     71        role_transition $2 cyrus_initrc_exec_t system_r; 
     72        allow $2 system_r; 
     73 
     74        files_list_tmp($1) 
     75        admin_pattern($1, cyrus_tmp_t) 
     76 
     77        files_list_var_lib($1) 
     78        admin_pattern($1, cyrus_var_lib_t) 
     79 
     80        files_list_pids($1) 
     81        admin_pattern($1, cyrus_var_run_t) 
     82') 
     83 
     84 

  • trunk/policy/modules/services/cyrus.te

    r2763 r2834  
    11 
    2 policy_module(cyrus, 1.6.0) 
     2policy_module(cyrus, 1.6.1) 
    33 
    44######################################## 
    …… 
    1010type cyrus_exec_t; 
    1111init_daemon_domain(cyrus_t, cyrus_exec_t) 
     12 
     13type cyrus_initrc_exec_t; 
     14init_script_file(cyrus_initrc_exec_t) 
    1215 
    1316type cyrus_tmp_t; 
    …… 
    121124 
    122125optional_policy(` 
    123         kerberos_use(cyrus_t) 
     126        kerberos_keytab_template(cyrus, cyrus_t) 
    124127') 
    125128 

  • trunk/policy/modules/services/kerneloops.fc

    r2698 r2834  
     1/etc/rc\.d/init\.d/kerneloops   --      gen_context(system_u:object_r:kerneloops_initrc_exec_t,s0) 
     2 
    13/usr/sbin/kerneloops    --      gen_context(system_u:object_r:kerneloops_exec_t,s0) 

  • trunk/policy/modules/services/kerneloops.if

    r2704 r2834  
    7272##      </summary> 
    7373## </param> 
     74## <param name="role"> 
     75##      <summary> 
     76##      The role to be allowed to manage the kerneloops domain. 
     77##      </summary> 
     78## </param> 
    7479## <rolecap/> 
    7580# 
    7681interface(`kerneloops_admin',` 
    7782        gen_require(` 
    78                 type kerneloops_t; 
     83                type kerneloops_t, kerneloops_initrc_exec_t; 
    7984        ') 
    8085 
    8186        allow $1 kerneloops_t:process { ptrace signal_perms }; 
    8287        ps_process_pattern($1, kerneloops_t) 
     88 
     89        init_labeled_script_domtrans($1, kerneloops_initrc_exec_t) 
     90        domain_system_change_exemption($1) 
     91        role_transition $2 kerneloops_initrc_exec_t system_r; 
     92        allow $2 system_r; 
    8393') 

  • trunk/policy/modules/services/kerneloops.te

    r2699 r2834  
    11 
    2 policy_module(kerneloops, 1.0.0) 
     2policy_module(kerneloops, 1.0.1) 
    33 
    44######################################## 
    …… 
    1111init_daemon_domain(kerneloops_t, kerneloops_exec_t) 
    1212 
     13type kerneloops_initrc_exec_t; 
     14init_script_file(kerneloops_initrc_exec_t) 
     15 
    1316######################################## 
    1417# 
    …… 
    1720 
    1821allow kerneloops_t self:capability sys_nice; 
    19 allow kerneloops_t self:process { setsched getsched }; 
     22allow kerneloops_t self:process { setsched getsched signal }; 
    2023allow kerneloops_t self:fifo_file rw_file_perms; 
     24allow kerneloops_t self:netlink_route_socket r_netlink_socket_perms; 
    2125 
    2226kernel_read_ring_buffer(kerneloops_t)