☰

SELinux 拒绝 clamscan 删除 nginx 服务器上的上传文件

tag-icon • tag-icon centos nginx selinux clamav
SELinux 拒绝 clamscan 删除 nginx 服务器上的上传文件

在我的 nginx 服务器上，上传的文件上下文设置为：

-rw-rw-r--. nginx nginx system_u:object_r:httpd_sys_rw_content_t:s0 eicar.sh.pdf

上传后，clamscan 立即运行以使用以下命令验证文件php 执行()作为 nginx 用户。

/usr/bin/clamscan --quiet --remove /opt/myserver/files/eicar.sh.pdf

当 clamscan 尝试删除该文件时，这会引发 SeLinux 写访问拒绝（它是 EICAR 测试文件）。

审计日志建议创建一个我不赞成的策略：

# ausearch -c 'clamscan' --raw | audit2allow -M my-clamscan
# semodule -i my-clamscan.pp

这些已经设置好了：

sudo setsebool -P antivirus_can_scan_system 1
sudo setsebool -P antivirus_use_jit 1

问：有没有办法通过文件上下文修复此问题，但不想丢失文件的当前上下文 httpd_sys_rw_content_t 。

答案1

环境防病毒软件_t作为宽容的工作了。这使得 SeLinux 不会对所有防病毒软件强制执行其策略。

sudo semanage permissive -a antivirus_t

相关内容