☰

CentOS 8 auditd AVC 拒绝消息泛滥，原因是 setuid 被拒绝

tag-icon • tag-icon linux selinux centos-8 setuid auditd
CentOS 8 auditd AVC 拒绝消息泛滥，原因是 setuid 被拒绝

今天我的 CentOS 8 突然冻结，不响应用户输入。当我尝试从控制台登录时，我看到如下消息：

audit: backlog limit exceeded
audit: backlog limit exceeded
audit: backlog limit exceeded

使用 rd.break 方法启动到救援模式https://www.linuxtechi.com/boot-centos-8-rhel-8-single-user-mode/并使用中提到的步骤查找导致积压限制超出的原因https://www.hungred.com/how-to/backlog-limit-exceeded-error-freeze-centos-6/，我暂时禁用导致 AVC 消息泛滥​​的 SELinux，并重新启动系统以运行。

AVC 报告显示该auditd进程被拒绝setuid，如下所示：

AVC Report
===============================================================
# date time comm subj syscall class permission obj result event
===============================================================
1. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38155
2. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38156
3. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38157
4. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38158
5. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38159
6. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38160
7. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38161
8. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38162
9. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38163
10. 09/02/2020 16:21:49 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 38164
.
.
.
187963. 09/02/2020 16:57:04 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 39782
187964. 09/02/2020 16:57:04 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 39783
187965. 09/02/2020 16:57:04 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 39784
187966. 09/02/2020 16:57:04 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 39785
187967. 09/02/2020 16:57:04 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 39786
187968. 09/02/2020 16:57:04 auditd system_u:system_r:auditd_t:s0 0 capability setuid system_u:system_r:auditd_t:s0 denied 39787

有人可能知道拒绝的原因并知道问题的解决方案吗？这可能是由错误/失败的更新或某些黑客攻击造成的吗？

问候。

答案1

我今天在 Centos 7 上也遇到了同样的问题

  1. 03/09/20 11:42:58 auditd system_u:system_r:auditd_t:s0 0 功能 setuid system_u:system_r:auditd_t:s0 被拒绝 449300257
  2. 03/09/20 11:42:58 auditd system_u:system_r:auditd_t:s0 0 功能 setuid system_u:system_r:auditd_t:s0 被拒绝 449300258
  3. 03/09/20 11:42:58 auditd system_u:system_r:auditd_t:s0 0 功能 setuid system_u:system_r:auditd_t:s0 被拒绝 449300259
  4. 03/09/20 11:42:58 auditd system_u:system_r:auditd_t:s0 0 功能 setuid system_u:system_r:auditd_t:s0 被拒绝 449300260
  5. 03/09/20 11:42:58 auditd system_u:system_r:auditd_t:s0 0 功能 setuid system_u:system_r:auditd_t:s0 被拒绝 44930026

相关内容