Linux勧告ウォッチ - 2005年11月4日（金）
Paxからのハック：SELinuxとアクセス決定
Pax
Dickinson
セキュリティコンテキスト
SELinuxは、対象（プロセス ─ ユーザに関連付けられることもある）のセキュリティコンテキストを目的のアクション（ファイル読み取りなど）およびターゲットのオブジェクト（ファイルやネットワークポートなど）のセキュリティコンテキストと照らし合わせて、アクセスの決定を下す。セキュリティコンテキストは、ユーザID、ロール、ドメインまたはタイプの3種類に分類される。現在のSELinuxポリシーでは、アクセスはユーザIDに基づいて制約されないので、この記事ではロールとドメインについて主に説明する。
ユーザロール
標準のLinuxシステムとは異なり、SELinuxシステムでは、rootに特別な権限は与えられない。SELinuxの権限は、ユーザロールで表される。標準ユーザには、特別な権限を持たないuser_rロールが割り当てられ、システム管理者には、staff_rロールが与えられる。staff_rには、sysadm_rロールへの「ロール遷移」と呼ばれる操作が許可される。sysadm_rロールは、非SELinuxシステムでのrootアカウントに相当し、システムに無制限にアクセスする権限がある。
スタッフユーザをsysadm_rロールへ遷移するには、次のnewroleコマンドを使用する。
newrole -r sysadm_r
パスワードの入力を要求するプロンプトが表示され、それに正しいパスワードを入力すると、新しいロールへの遷移が受け付けられる。id -Zコマンドを実行すると、現在のロールを確認できる。
ドメインとタイプ
ドメインとタイプは同義である。通常、「ドメイン」はプロセスを指すときに使われ、「タイプ」はファイルを指すときに使われる。タイプは、認証を決定するときにSELinuxで主に使われる手段である。厳格なポリシーに定義されるユーザとロールの数は比較的少ないが、タイプの種類は数百に及ぶ。
タイプは、目的のファイルのパスに基づくセキュリティポリシーによって割り当てられる。また、ポリシーは、実行するファイルとファイルを実行するプロセスのドメインに基づいて適切なドメインにプロセスを遷移する。
たとえば、Apache Webサーバの実行可能ファイルのタイプは、httpd_exec_tである。ブート時にinitプロセスによってこのファイルが実行されると、ポリシーによって新しいプロセスはhttpd_tドメインに遷移される。httpd_tドメインは、httpd_content_tタイプで表されるWebコンテンツを読み取る権限を持つが、Webコンテンツを変更することや、適切なWeb操作には必要のない他のドメインにアクセスすることはできない。
ファイルのタイプを表示するには、lsで-Zオプションを使用する。また、プロセスが動作しているドメインは、psで-Zオプションを使うと表示できる。これらの-ZオプションはSELinuxでしか使えないオプションであり、非SELinuxシステムでは機能しない。
出典「Hacks From Pax: SELinux And Access Decisions」：
http://www.linuxsecurity.com/content/view/120622/49/
| Debian | ||
| Debian：新しいlynxパッケージの任意のコード実行に対する修正 | ||
| 2005年10月27日
| ||
| Debian：新しいOpenSSLパッケージの暗号化の弱点の修正 | ||
| 2005年10月27日
| ||
| Debian：新しいlynx-sslパッケージの任意のコード実行に対する修正 | ||
| 2005年10月27日
| ||
| Debian：新しいgnump3dパッケージの複数の弱点の修正 | ||
| 2005年10月28日
| ||
| Debian：新しいnetpbm-freeパッケージの任意のコード実行に対する修正 | ||
| 2005年10月28日
| ||
| Debian：新しいgalleryパッケージの権限昇格の修正 | ||
| 2005年11月2日
| ||
| Debian：新しいphpmyadminパッケージの複数の弱点の修正 | ||
| 2005年11月2日
| ||
| Gentoo | ||
| Gentoo：SELinux PAMのパスワード推測によるローカルからの攻撃に対する修正 | ||
| 2005年10月28日
| ||
| Gentoo：TikiWiki XSSの弱点の修正 | ||
| 2005年10月28日
| ||
| Gentoo：Mantisの複数の弱点の修正 | ||
| 2005年10月28日
| ||
| Gentoo：EtherealのProtocol Dissectorの複数の弱点の修正 | ||
| 2005年10月30日
| ||
| Gentoo：XLIとXloadimageのバッファ・オーバーフローの修正 | ||
| 2005年10月30日
| ||
| Gentoo：libgdaのフォーマット文字列の弱点の修正 | ||
| 2005年11月2日
| ||
| Gentoo：QDBM、ImageMagick、GDALのRUNPATH問題の修正 | ||
| 2005年11月2日
| ||
| Red Hat | ||
| RedHat：重要：カーネルのセキュリティ更新 | ||
| 2005 2005年10月27日
| ||
| RedHat：中：curlのセキュリティ更新 | ||
| 2005年11月2日
| ||
| RedHat：重要：wgetのセキュリティ更新 | ||
| 2005年11月2日
| ||
| RedHat：重要：opensslのセキュリティ更新 | ||
| 2005年11月2日
| ||
| RedHat：中：openssl096bのセキュリティ更新 | ||
| 2005年11月2日
| ||