Справочный центр

Дерево страниц

Вы просматриваете старую версию данной страницы. Смотрите текущую версию.

Сравнить с текущим просмотр истории страницы

Версия 1 Следующий »

Признаки проблемы

Выполнение системного вызова shmget() из пользовательской сессии с ненулевой классификационной меткой заканчивается ошибкой вида:

Can't shmget: at ..

Устранение проблемы

Запрет использования системного вызова shmget() из пользовательских сессий с ненулевой классификационной меткой установлен в Astra Linux Special Edition для предотвращения создания скрытых каналов утечки информации.  Снятие этого запрета ведет к появлению  возможности организовать скрытый канал утечки информации между уровнями конфиденциальности.

Для того, чтобы разрешить выполнение системного вызова shmget() независимо от классификационой метки сессии необходимо в файлах авторизации пользователей в каталоге /etc/pam.d в вызовы PAM-модуля pam_parsec_mac.so добавить параметр public_sysv_ipc. Если в файле имеются нескоколько вызовов PAM-модуля pam_paresec_mac.so, то параметр public_sysv_ipc добавить к первому вызову. В итоге вызовы модуля для стандартного набора файлов должны выглядеть так:

Данная статья применима к:

  • Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6)
  • Astra Linux Special Edition РУСБ.10015-16 исп. 1 и исп. 2
  • Astra Linux Special Edition РУСБ.10265-01 (очередное обновление 8.1)
/etc/pam.d/fly-dm:session required pam_parsec_mac.so unshare_root_only public_sysv_ipc
/etc/pam.d/fly-dm:auth required pam_parsec_mac.so
/etc/pam.d/fly-dm:account required pam_parsec_mac.so labelselect=appset
/etc/pam.d/fly-dm:session required pam_parsec_mac.so

/etc/pam.d/fly-dm-np:session required pam_parsec_mac.so unshare_root_only public_sysv_ipc 
/etc/pam.d/fly-dm-np:auth required pam_parsec_mac.so
/etc/pam.d/fly-dm-np:account required pam_parsec_mac.so labelselect=appset
/etc/pam.d/fly-dm-np:session required pam_parsec_mac.so

/etc/pam.d/login:session required pam_parsec_mac.so unshare_root_only public_sysv_ipc
/etc/pam.d/login:auth required pam_parsec_mac.so
/etc/pam.d/login:account required pam_parsec_mac.so 
/etc/pam.d/login:session required pam_parsec_mac.so

/etc/pam.d/passwd:password required pam_parsec_mac.so public_sysv_ipc

/etc/pam.d/sshd:session    required     pam_parsec_mac.so stub public_sysv_ipc

/etc/pam.d/sumac.xauth:auth       required   pam_parsec_mac.so public_sysv_ipc
/etc/pam.d/sumac.xauth:account       required   pam_parsec_mac.so labelselect=appset
/etc/pam.d/sumac.xauth:session required pam_parsec_mac.so

Если в каталоге /etc/pam.d имеются дополнительные файлы то в них нужно сделать аналогичные изменения.
  • Нет меток