Fix for colord.if and others

Merge branch 'master' of ssh://git.fedorahosted.org/git/selinux-policy

Allow systemd_tmpfiles_t to list file_t directories

Allow systemd_tmpfiles_t to list file_t directories

Fix more typos

Fix in telepathy.if

Fix ncftool.if

qpidd policy was renamed to qpid by upstream

Move mediawiki policy from apps to services

Move passenger policy from services to admin layer

Merge branch 'master' of ssh://git.fedorahosted.org/git/selinux-policy; branch 'master' of http://oss.tresys.com/git/refpolicy

Conflicts:
policy/mcs
policy/modules/admin/ncftool.fc
policy/modules/admin/ncftool.if
policy/modules/admin/ncftool.te
policy/modules/admin/shorewall.if
policy/modules/apps/kdumpgui.te
policy/modules/apps/mozilla.if
policy/modules/apps/mozilla.te
policy/modules/apps/qemu.te
policy/modules/apps/rssh.te
policy/modules/apps/sambagui.te
policy/modules/apps/screen.if
policy/modules/apps/telepathy.fc
policy/modules/apps/telepathy.if
policy/modules/apps/telepathy.te
policy/modules/apps/vmware.te
policy/modules/apps/webalizer.te
policy/modules/apps/wm.fc
policy/modules/kernel/corecommands.fc
policy/modules/kernel/corenetwork.fc
policy/modules/kernel/corenetwork.if.in
policy/modules/kernel/corenetwork.te.in
policy/modules/kernel/devices.if
policy/modules/kernel/domain.if
policy/modules/kernel/files.fc
policy/modules/kernel/files.if
policy/modules/kernel/filesystem.fc
policy/modules/kernel/filesystem.if
policy/modules/kernel/filesystem.te
policy/modules/kernel/selinux.if
policy/modules/kernel/storage.if
policy/modules/kernel/terminal.fc
policy/modules/kernel/terminal.if
policy/modules/roles/sysadm.te
policy/modules/services/aiccu.if
policy/modules/services/aiccu.te
policy/modules/services/aisexec.te
policy/modules/services/amavis.te
policy/modules/services/bugzilla.fc
policy/modules/services/bugzilla.if
policy/modules/services/bugzilla.te
policy/modules/services/cgroup.te
policy/modules/services/cmirrord.fc
policy/modules/services/cmirrord.if
policy/modules/services/cobbler.if
policy/modules/services/colord.fc
policy/modules/services/colord.if
policy/modules/services/colord.te
policy/modules/services/courier.fc
policy/modules/services/cyrus.fc
policy/modules/services/dbus.if
policy/modules/services/dbus.te
policy/modules/services/dovecot.te
policy/modules/services/mpd.fc
policy/modules/services/mpd.if
policy/modules/services/mpd.te
policy/modules/services/postfix.fc
policy/modules/services/vnstatd.fc
policy/modules/services/vnstatd.if
policy/modules/services/vnstatd.te
policy/modules/services/xserver.te
policy/modules/services/zabbix.fc
policy/modules/services/zabbix.te
policy/modules/services/zarafa.fc
policy/modules/services/zarafa.if
policy/modules/services/zarafa.te
policy/modules/system/application.if
policy/modules/system/authlogin.if
policy/modules/system/daemontools.if
policy/modules/system/daemontools.te
policy/modules/system/fstools.te
policy/modules/system/init.te
policy/modules/system/ipsec.fc
policy/modules/system/ipsec.te
policy/modules/system/iptables.fc
policy/modules/system/iptables.if
policy/modules/system/iptables.te
policy/modules/system/iscsi.te
policy/modules/system/libraries.fc
policy/modules/system/logging.fc
policy/modules/system/logging.te
policy/modules/system/sysnetwork.te
policy/modules/system/userdomain.if

Merge branch 'master' of ssh://git.fedorahosted.org/git/selinux-policy

Conflicts:
policy/modules/kernel/terminal.if
policy/modules/system/logging.te

Allow ifconfig to create appletalk_sockets

Fix filetrans rule

Fix setcap and getcap for syslogd

Add  files_delete_all_pid_sockets(init_t) instead of files_unlink_all_pid_sockets

Fix name transition for ptmx_t

logging.te: setcap and getcap are not permissions for the capability
object class they are permissions for the process object class.

init.te: syntax error: files_unlink_all_pid_sockets is now
files_delete_all_pid_sockets.

terminals: commented out for now because it breaks built and does not
make sense.

/dev/pts directories has a (named) file transition rule in here as well
so if /dev/pts gets created with devpts_t then this chr_file in there
will automatically inherit this type from the parent.

If this rule was added as a fall back to ensure that /dev/pts/ptmx gets
created with a proper type even if /dev/pts is created with device_t
instead of devpts_t then we should not use filetrans_pattern here.

irssi wants to read /proc/meminfo
irssi: remove duplicate policy (auth_use_nsswitch already provides for
this access)
irssi: remove irssi access to sendrecv from generic ports add access to
sendrecv from ircd and httpd_cache ports instead.

Remove bogus $ from postfix.if

Module version bump for mozilla plugin bug fix from Harry Ciao.

Fix the call to mozilla_run_plugin.

When mozilla_role interface is called, 1st argument is the caller's
role and 2nd argument is the caller's domain, such as:

   mozilla_role(staff_r, staff_t)

When mozilla_role calls mozilla_run_plugin, the passed 2nd argument
should be the caller's role rather than its domain, so $1 not $2 should
be used.

Signed-off-by: Harry Ciao <qingtao.cao@windriver.com>

Fix label on abrt-hook-ccpp

Init_t needs to unmount and remount all file systems

Eliminate some confined domains from being able to talk to abrt

Allow privoxy to read network state

Fix call to mozilla_run_plugin to pass role

Allow abrt to list apache modules

Allow xserver_t roles to be used with insmod

Allow colord_t to read icc_data

Allow rhev_agentd to use console apps

Dontaudit leaked init fd  to daemons

Allow systemd_tmpfiles_t to delete fifo_files in /run directories.  Fix names on interfaces

Allow ricci_modclusterd to connect to cluster port

Allow chrome_sandbox to execute content in nfs homedir

postfix_qmgr needs to read /var/spool/postfix/deferred

abrt_t needs fsetid

Make dnssec_t a mountpoint since bind_chroot package now mounts on it.

syslog-ng latest version drops capabilityies

Allow lldpad to create its own shm

Add filename transition for ptmx chr_file

Allow mta_user_agent read and write fifo files passed into send_mail

Add sanlock_log_t

chrome sandbox needs to be able to open nfs/cifs files (may even need to
be able to mmap them in some cases? #713934

allow aria2c (abrt_t) to read /dev/random #713916

Allow tmpreaper to set attributes of all user home content directories
and allow it to delete all user home content dirs, files , symlinks and
sock files. #713898

support gecko mozilla browser plugin

Merge branch 'master' of ssh://domg472@git.fedorahosted.org/git/selinux-policy.git

dovecot auth wants to search statfs #713555

Allow systemd passwd apps to read init fifo_file

Allow systemd passwd apps to read init fifo_file

Merge branch 'master' of ssh://git.fedorahosted.org/git/selinux-policy

Any app that loads the libselinux will now need this access to figure out where selinuxfs is mounted

Allow dovecot deliver use postfix master fds #713571

allow dovecot auth to get attributes of / #713557

Add agent support to zabbix from Sven Vermeulen.

Fix packet interfaces in zabbix.if.

Allow prelink to use inherited terminals

Whitespace cleanup in zabbix.

Rearrange lines in zabbix.

Remove unnecessary comments in zabbix.te.

Allow zabbix agent to query system state and other monitorable aspects

The zabbix agent is responsible for collecting the system state and other
monitorable aspects. This include
- information from /proc
- read attributes of various files (tamper detection)
- connect to the ssh service (check if it is reachable)
- get file system information
- read login information
- ...

It should be noted that the agent can do a lot more, depending on the target
system (what is being monitored) and the running services. The allowed
privileges here will in the future expand more as more templates are
checked.

Update: follow styleguide

Signed-off-by: Sven Vermeulen <sven.vermeulen@siphos.be>

Allow zabbix server to connect to agent (active monitoring)

The zabbix server also connects to the agents (this is called "active
monitoring" in the zabbix terms). So we create a zabbix_agent_tcp_connect
interface, use it for the zabbix_t domain and, since zabbix can use
hostname-based connections, allow DNS resolving for the zabbix server.

Update: Follow styleguide

Signed-off-by: Sven Vermeulen <sven.vermeulen@siphos.be>

Zabbix agent binds on its own port, connects to zabbix server

The zabbix agent has its own dedicated port (10050) on which it needs to
bind/listen.

Also, the agent connects to the server so we add the zabbix_tcp_connect
interface (shamelessly copied from mysql_tcp_connect) and use it for the
zabbix_agent_t domain.

Update: structure interface calls more closely to styleguide

Signed-off-by: Sven Vermeulen <sven.vermeulen@siphos.be>

Support different domain for zabbix agent (start with skeleton)

The zabbix agent should be confined within its own domain. We start with the
definition of a small(er) skeleton to work from. This includes proper file
context definitions, standard interdomain privileges (which are quite
similar to those of the server) and the proper log- and pid access
privileges.

Update: attempt to follow styleguide more closely

Signed-off-by: Sven Vermeulen <sven.vermeulen@siphos.be>

Define zabbix port and allow server to listen/bind on it

The zabbix server uses a dedicated port (10051). We define it and allow the
zabbix server to bind/listen on it.

Signed-off-by: Sven Vermeulen <sven.vermeulen@siphos.be>

Support shared memory

On Mon, Jun 13, 2011 at 10:28:15AM +0200, Sven Vermeulen wrote:
> Zabbix servers use shared memory to keep common information and structures.
> This is implemented on tmpfs. We support this by introducing a
> zabbix_tmpfs_t type and allow the server proper access to it.

After a small discussion and a few more tests, drop the "dir" in
fs_tmpfs_filetrans.

For posterity's sake, this is the denial one gets when no tmpfs_t related
privileges are given:

Jun 13 11:24:06 build kernel: [  213.054230] type=1400
audit(1307957046.001:106): avc:  denied  { read write } for  pid=3162
comm="zabbix_agentd" path=2F535953563663303132323534202864656C6574656429
dev=tmpfs ino=32768 scontext=system_u:system_r:zabbix_agent_t
tcontext=system_u:object_r:tmpfs_t tclass=file

With fs_tmpfs_filetrans(..., file) the same denial is given, but as
tcontext=zabbix_tmpfs_t. Hence the rw_files_pattern() enhancement.

Signed-off-by: Sven Vermeulen <sven.vermeulen@siphos.be>

zabbix server spawns multiple processes

The zabbix server process is a multi-process system.

In order to, for instance, shut it down, signalling within the domain is
necessary. Otherwise, the processes remain running.

Also, since there are multiple processes trying to use the same log file,
the zabbix server uses semaphores to ensure proper access to the log files
(concurrency).

Signed-off-by: Sven Vermeulen <sven.vermeulen@siphos.be>

Fix label on /var/spool/postfix/deferred to match label of /var/spool/postfix/maildrop
Allow smartmon to send message to all terminals

Merge branch 'cherokee'

Run cherokee in the httpd_t domain

Merge branch 'master' of ssh://git.fedorahosted.org/git/selinux-policy

Allow mcs constraints on node connections
Modify policy to allow chrome and sandbox to work together.
Change telnetd to allow inherited tty

Allow iptables to read/write inherited fail2ban_tmp files

Revert "Fix fail2ban_dontaudit_leaks() interface to dontaudit fail2ban_tmp_t leaks"

This reverts commit 0123647c090a8cc7b50afe129de5f81d82ca9a79.

Implement pyicqt policy
  * pyicq-t -  ICQ Transport for Jabber Servers
  * original pyicqt policy was written by Filip Bartman

Add dspam policy
  * dspam - library and Mail Delivery Agent for Bayesian SPAM filtering

Fixes for zarafa policy
  * Mainly for zarafa-indexer

Fix fail2ban_dontaudit_leaks() interface to dontaudit fail2ban_tmp_t leaks

Merge branch 'master' of ssh://git.fedorahosted.org/git/selinux-policy

Allow cobblerd to send syslog messages

Add lldpad policy
 * lldpad - Link Layer Discovery Protocol (LLDP) agent daemon

Fix 4fbb442fe8e8d8218d2fb8eb9a13bbe5809a9a76 commit

Merge branch 'master' of ssh://git.fedorahosted.org/git/selinux-policy

Merge branch 'master' of ssh://domg472@git.fedorahosted.org/git/selinux-policy.git

Allow xserver to read/write the xserver_misk device

fix pulse audio user/admin home dir context spec to what i suspect is
right.

Fix for fail2ban policy

fix xserver admin home dir context specs

Merge branch 'master' of ssh://git.fedorahosted.org/git/selinux-policy

allow xserver domains to create content in admin home dir with a (named)
file transition

initrc_t wants to append inherited devicekit log files (atd) (resume
from suspend. I dont know how atd got into the initrc domain:

avc:  denied  { append } for  pid=10106 comm="atd"
path="/var/log/pm-suspend.log" dev=dm-2 ino=1441892
scontext=system_u:system_r:initrc_t:s0-s0:c0.c1023
tcontext=system_u:object_r:devicekit_var_log_t:s0 tclass=file

dupe declaration:

type_transition nsplugin_t admin_home_t:dir pulseaudio_home_t ".pulse";

Actually create pulseaudio_filetrans_admin_home_content

fix auth_manage_var_auth

Merge branch 'enable_irc_role_for_confined_users'

ppp also installs /var/log/ppp and /var/run/ppp directories, support
that but leave the old filetrans for that as the file context
specifications for these locations hint that it may be needed.

ppp installs /var/lock/ppp now and so it needs to be able to search
/var/lock/ppp to get to its lock file