■ /linux/FedoraCore3/ FedoraCore3付属のapache(SELinux)でSuEXECを有効にする方法

HOME_DIR               -d      system_u:object_r:httpd_user_content_t

# diff -u types.fc.2004-1117 types.fc
--- types.fc.2004-1117  2004-11-02 06:36:22.000000000 +0900
+++ types.fc    2004-11-17 23:59:06.557272440 +0900
@@ -51,7 +51,9 @@
 # ROLE expands to each user's role when role != user_r, and to "user" otherwise.
 #
 HOME_ROOT              -d      system_u:object_r:home_root_t
-HOME_DIR               -d      system_u:object_r:ROLE_home_dir_t
+#HOME_DIR              -d      system_u:object_r:httpd_suexec_t
+HOME_DIR               -d      system_u:object_r:httpd_user_content_t
+#HOME_DIR              -d      system_u:object_r:ROLE_home_dir_t
 HOME_DIR/.+                    system_u:object_r:ROLE_home_t

 /root/.default_contexts        --      system_u:object_r:default_context_t

HOME_DIR/((www)|(web)|(public_html))(/.+)? system_u:object_r:httpd_sys_script_rw_t

cd /etc/selinux/targeted/src/policy
make clean
make reload
mkee relabel

　macros/program/apache_macros.te を見ると httpd_suexec_t というラベルがあるようですが、どうもうまく機能していない様子でした。私の使い方、ポリシーの見方を間違っているかも知れませんが、とりあえず上記の方法で SuEXEC として利用が出来ますので、とりあえず目標は達成したという事にします。。。

　ユーザを新規追加した後など、ラベルが適切に与えられてないと思われる時は、/etc/selinux/targeted/src/policy で make relabel を実行してラベルの再定義をする必要があります（自分はここでハマりました）。
　ラベルを見るには ls のオプションで『 —context 』をつけるか『 -Z 』です。
　実行例：

# ls -la --context /home/zem2/public_html/
drwxr-xr-x  zem2     zem2     system_u:object_r:httpd_sys_script_rw_t .
drwx-----x  zem2     zem2     system_u:object_r:httpd_user_content_t ..
-rw-r--r--  zem2     zem2     root:object_r:httpd_sys_script_rw_t hello.txt
-rwx------  zem2     zem2     system_u:object_r:httpd_sys_script_rw_t test.cgi

　また、SuEXEC 自身のエラーによって実行できない場合もあるので、その場合は【 /var/log/httpd/suexec_log 】のチェックも必要になってきます。以下は自爆例。

[2004-11-17 17:02:20]: uid: (500/zem) gid: (500/500) cmd: test.cgi
[2004-11-17 17:02:20]: directory is writable by others: (/home/zem/public_html)

　参考までに、テストで使用した test.cgi は以下の通り。

#!/usr/bin/perl

print "Content-type:text/html\n\n";
print "<H1>CGI test</h1>";
open (OUT,">"."hello.txt") or print "error:$!<p>";
print OUT "hello!\n";
close (OUT);
print "<hr>";

open(IN,"<"."./hello.txt") or print "ERR:$!<p>";
while (<IN>) {
        print;
}

なお、 /etc/selinux/targeted/src/policy/domains/program/apache.te 内の以下の行も、false から true に変更している。効果の程は FAQ(しかもベータ版ですか) を見てもいまいち不明。とりあえず、現状は変更して使っています。

bool httpd_unified true;

# Allow httpd cgi support
bool httpd_enable_cgi true;

# Allow httpd to read home directories
bool httpd_enable_homedirs true;

# Run SSI execs in system CGI script domain.
bool httpd_ssi_exec true;

参考URL

Understanding and Customizing the Apache HTTP SELinux Policy (Beta Document) … ベータ版らしい、ということは、Fedora Core3 でも apache に対するポリシー設定はまだ確定していないようですね……。

[分類 /linux/FedoraCore3 ] 固定リンク