Setuid Binary Options

Mount Optionen für NFS-Dateisysteme Im folgenden Text werden einige Optionen aufgelistet, die dem - o-Flag folgen können, wenn Sie ein NFS-Dateisystem installieren. Eine vollständige Liste der Optionen finden Sie auf der man-Seite von mountnfs (1M). Diese Optionen können verwendet werden, um das Wiederholungsverhalten zu wählen, wenn ein Mount fehlschlägt. Die Option bg bewirkt, dass die Mountversuche im Hintergrund ausgeführt werden. Die fg-Option bewirkt, dass der Mount-Versuch im Vordergrund ausgeführt wird. Die Voreinstellung ist fg. Was die beste Auswahl für Dateisysteme ist, die verfügbar sein müssen. Diese Option verhindert die weitere Verarbeitung, bis die Montage beendet ist. Bg ist eine gute Auswahl für nicht-kritische Dateisysteme, da der Client eine andere Verarbeitung ausführen kann, während er darauf wartet, dass die Mount-Anfrage abgeschlossen ist. Diese Option verbessert die Leistung großer sequentieller Datenübertragungen. Daten werden direkt in einen Benutzerpuffer kopiert. Im Kernel auf dem Client wird kein Caching durchgeführt. Diese Option ist standardmäßig deaktiviert. Bisher wurden alle Schreibaufträge sowohl vom NFS-Client als auch vom NFS-Server serialisiert. Der NFS-Client wurde geändert, um es einer Anwendung zu ermöglichen, gleichzeitige Schreibvorgänge sowie gleichzeitige Lese - und Schreibvorgänge in einer einzigen Datei auszuführen. Sie können diese Funktionalität auf dem Client mit der Option forcedirectio mount aktivieren. Wenn Sie diese Option verwenden, aktivieren Sie diese Funktionalität für alle Dateien innerhalb des gemounteten Dateisystems. Sie können diese Funktionalität auch in einer einzigen Datei auf dem Client mithilfe der directio () - Schnittstelle aktivieren. Wenn diese Funktion nicht aktiviert ist, werden die Schreibvorgänge in Dateien serialisiert. Wenn gleichzeitig gleichzeitige Schreibvorgänge oder gleichzeitige Lesevorgänge und Schreibvorgänge auftreten, werden POSIX-Semantiken für diese Datei nicht mehr unterstützt. Ein Beispiel für die Verwendung dieser Option finden Sie unter Verwenden des Befehls mount. Mit dieser Option können Sie auf Dateien zugreifen, die größer als 2 Gbyte sind, auf einem Server, auf dem die Solaris 2.6-Version ausgeführt wird. Ob eine große Datei zugegriffen werden kann, kann nur auf dem Server gesteuert werden, so dass diese Option auf NFS-Versionen der Version 3 leise ignoriert wird. Ab Release 2.6 werden standardmäßig alle UFS-Dateisysteme mit großen Dateien angehängt. Für mount, die das Protokoll der NFS-Version 2 verwenden, führt die Option largefiles dazu, dass der Mount mit einem Fehler fehlschlägt. Diese Option für UFS-Mounts garantiert, dass keine großen Dateien im Dateisystem existieren können. Weitere Informationen finden Sie auf der man-Seite von mountufs (1M). Da die Existenz von großen Dateien nur auf dem NFS-Server gesteuert werden kann, gibt es keine Option für nolargefiles, wenn Sie NFS-Mounts verwenden. Versuche, ein Dateisystem zu NFS-mounten, indem Sie diese Option verwenden, werden mit einem Fehler zurückgewiesen. Ab der Solaris 10-Version entspricht die Option nosuid der Angabe der Option nodevices mit der Option nosetuid. Wenn die Option nodevices angegeben ist, ist das Öffnen von gerätespezifischen Dateien auf dem gemounteten Dateisystem nicht zulässig. Wenn die Option nosetuid angegeben ist, werden das setuid-Bit und das setgid-Bit in Binärdateien, die sich im Dateisystem befinden, ignoriert. Die Prozesse werden mit den Berechtigungen des Benutzers ausgeführt, der die Binärdatei ausführt. Die Option suid entspricht der Angabe der Geräteoption mit der Option setuid. Wenn die Geräteoption angegeben ist, ist das Öffnen von gerätespezifischen Dateien auf dem gemounteten Dateisystem erlaubt. Wenn die setuid-Option angegeben ist, werden das setuid-Bit und das setgid-Bit in Binärdateien, die sich im Dateisystem befinden, vom Kernel geehrt. Wenn keine Option angegeben ist, ist die Standardoption suid. Die das Standardverhalten der Angabe der Geräteoption mit der Option setuid bereitstellt. Die folgende Tabelle beschreibt den Effekt der Kombination von nosuid oder suid mit Geräten oder Knotenpunkten. Und setuid oder nosetuid. Beachten Sie, dass in jeder Kombination von Optionen die restriktivste Option das Verhalten bestimmt. Verhalten aus den kombinierten Optionen Die Option nosuid bietet zusätzliche Sicherheit für NFS-Clients, die auf potenziell nicht vertrauenswürdige Server zugreifen. Die Installation von Remote-Dateisystemen mit dieser Option reduziert die Wahrscheinlichkeit einer Privileg-Eskalation durch das Importieren nicht vertrauenswürdiger Geräte oder das Importieren nicht vertrauenswürdiger setuid-Binärdateien. Alle diese Optionen sind in allen Solaris-Dateisystemen verfügbar. Diese Option erzwingt die Verwendung des öffentlichen Dateizugriffs beim Kontakt mit dem NFS-Server. Wenn das öffentliche Dateizugriff vom Server unterstützt wird, ist die Montageoperation schneller, da das MOUNT-Protokoll nicht verwendet wird. Da das MOUNT-Protokoll nicht verwendet wird, ermöglicht die öffentliche Option auch die Installation über eine Firewall. Die Optionen - rw und - ro geben an, ob ein Dateisystem read-write oder read-only sein soll. Der Standardwert ist read-write, was die geeignete Option für Remote-Home-Verzeichnisse, Mail-Spooling-Verzeichnisse oder andere Dateisysteme ist, die von Benutzern geändert werden müssen. Die schreibgeschützte Option ist für Verzeichnisse geeignet, die von Benutzern nicht geändert werden sollen. Beispielsweise sollten freigegebene Kopien der Man-Seiten nicht von Benutzern beschreibbar sein. Mit dieser Option können Sie den Authentifizierungsmechanismus festlegen, der während der Mount-Transaktion verwendet werden soll. Der Wert für Modus kann einer der folgenden Werte sein. Verwenden Sie krb5 für Kerberos-Version 5-Authentifizierungsdienst. Verwenden Sie krb5i für Kerberos Version 5 mit Integrität. Verwenden Sie krb5p für Kerberos Version 5 mit Privatsphäre. Verwenden Sie keine für keine Authentifizierung. Verwenden Sie dh für Diffie-Hellman (DH) Authentifizierung. Verwenden Sie sys für die Standard-UNIX-Authentifizierung. Die Modi sind auch in /etc/nfssec. conf definiert. Ein NFS-Dateisystem, das mit der Option soft installiert wird, gibt einen Fehler zurück, wenn der Server nicht antwortet. Die harte Option bewirkt, dass das Mount weiter versucht, bis der Server antwortet. Die Voreinstellung ist schwer. Die für die meisten Dateisysteme verwendet werden sollten. Anwendungen häufig nicht überprüfen Rückgabewerte aus Soft-Mounted-Dateisysteme, die die Anwendung kann fehlschlagen oder kann zu beschädigten Dateien führen. Wenn die Anwendung die Rückgabewerte überprüft, können Routingprobleme und andere Bedingungen die Anwendung weiterhin verwechseln oder zu einer Beschädigung der Datei führen, wenn die Option soft verwendet wird. In den meisten Fällen sollte die Option soft nicht verwendet werden. Wenn ein Dateisystem mithilfe der Option hard verfügbar ist und nicht verfügbar ist, hängt eine Anwendung, die dieses Dateisystem verwendet, bis das Dateisystem verfügbar ist. Das Setuid-Berechtigungsbit teilt Linux mit, dass ein Programm mit der effektiven Benutzer-ID des Eigentümers statt der Ausführung ausgeführt werden soll Der Executor: Dies gilt jedoch nur für ausführbare Shell-Skripte ignorieren das setuid-Bit: Aufgrund der erhöhten Wahrscheinlichkeit von Sicherheitsfehlern ignorieren viele Betriebssysteme das setuid-Attribut, wenn es auf ausführbare Shell-Skripte angewendet wird. Angenommen, Im bereit, diese Risiken zu akzeptieren, gibt es eine Möglichkeit, um zu sagen, dass Linux das Setuid-Bit das gleiche auf Shell-Skripte zu behandeln, wie es auf ausführbare Dateien Wenn nicht, gibt es eine gemeinsame Abhilfe für dieses Problem Meine aktuelle Lösung ist, einen Sudoers Eintrag hinzuzufügen Um ALLE zu erlauben, ein gegebenes Skript als den Benutzer laufen zu lassen, den ich es laufen lassen möchte, mit NOPASSWD, um die Kennwortaufforderung zu vermeiden. Die wichtigsten Nachteile ist, dass die Notwendigkeit für eine sudoers Eintrag jedes Mal, wenn ich dies tun wollen, und die Notwendigkeit für den Anrufer zu sudo etwas Skript anstelle von nur einige-script gefragt, August 12 10 um 2:20 Linux ignoriert die setuid Bit Auf alle interpretierten ausführbaren Dateien (dh ausführbare Dateien beginnend mit einer Zeile). In den FAQs von comp. unix. questions werden die Sicherheitsprobleme mit setuid-Shell-Skripten erläutert. Diese Probleme sind von zwei Arten: Shebang-bezogen und Shell-bezogen Ich gehe in mehr Details unten. Wenn Sie nicht um die Sicherheit kümmern und wollen, um setuid Skripte, unter Linux, youll müssen den Kernel Patch. Ab 3.x Kernel, denke ich, müssen Sie einen Anruf zu installexeccreds in der Loadscript-Funktion, vor dem Aufruf von openexec hinzuzufügen. Aber ich habe nicht getestet. Setuid shebang Es gibt eine Rasse Bedingung inhärent auf die Art und Weise shebang () ist in der Regel implementiert: Der Kernel öffnet die ausführbare Datei und findet, dass es beginnt mit. Der Kernel schließt die ausführbare Datei und öffnet stattdessen den Interpreter. Der Kernel fügt den Pfad zum Skript in die Argumentliste (als argv1) ein und führt den Interpreter aus. Wenn mit dieser Implementierung Setuid-Skripte erlaubt sind, kann ein Angreifer ein beliebiges Skript aufrufen, indem es eine symbolische Verknüpfung zu einem vorhandenen Setuid-Skript erstellt, es ausführt und es veranlasst, die Verknüpfung zu ändern, nachdem der Kernel Schritt 1 ausgeführt hat und bevor der Interpreter ruft Eröffnet sein erstes Argument. Aus diesem Grund ignorieren die meisten Unices das Setuid-Bit, wenn sie ein Shebang erkennen. Eine Möglichkeit zur Sicherung dieser Implementierung besteht darin, dass der Kernel die Skriptdatei sperrt, bis der Interpreter es geöffnet hat (beachten Sie, dass dies nicht nur das Verknüpfen oder Überschreiben der Datei verhindern muss, sondern auch jedes Verzeichnis im Pfad umbenannt wird). Aber Unix-Systeme neigen dazu, weg von obligatorischen Schlössern schüchtern, und symbolische Links würde eine richtige Sperre Feature besonders schwierig und invasiv machen. Ich denke niemand macht es so. Ein paar Unix-Systeme (vor allem OpenBSD, NetBSD und Mac OS X, die alle eine Kernel-Einstellung aktivieren müssen) implementieren das sichere setuid shebang mit einer zusätzlichen Funktion: Der Pfad / dev / fd / N bezieht sich auf die Datei, die bereits auf Datei geöffnet ist Descriptor N (also Öffnung / dev / fd / N ist ungefähr gleichbedeutend mit dup (N)). Viele Unix-Systeme (einschließlich Linux) haben / dev / fd aber keine setuid-Skripte. Der Kernel öffnet die ausführbare Datei und findet sie mit dem Anfang. Nehmen wir an, der Dateideskriptor für die ausführbare Datei ist 3. Der Kernel öffnet den Interpreter. Der Kernel fügt / dev / fd / 3 die Argumentliste (als argv1) ein und führt den Interpreter aus. Sven Maschecks Shebang Seite hat eine Menge Informationen über Shebang über Unices, einschließlich setuid Unterstützung. Setuid-Interpreter Nehmen wir an, Sie haben es geschafft, Ihr Programm als root zu starten, entweder weil Ihr Betriebssystem setuid shebang unterstützt oder weil Sie einen nativen binären Wrapper (wie sudo) verwendet haben. Haben Sie eine Sicherheitslücke geöffnet Vielleicht. Das Problem hier ist nicht über interpretierte vs kompilierte Programme. Das Problem ist, ob Ihr Laufzeitsystem sich sicher verhält, wenn es mit Privilegien ausgeführt wird. Jede dynamisch verbundene native binäre ausführbare Datei wird in einer Weise interpretiert, die vom dynamischen Loader (z. B. /lib/ld. so) interpretiert wird, der die vom Programm benötigten dynamischen Bibliotheken lädt. Auf vielen Units können Sie den Suchpfad für dynamische Bibliotheken über die Umgebung konfigurieren (LDLIBRARYPATH ist ein allgemeiner Name für die Umgebungsvariable) und sogar zusätzliche Bibliotheken in alle ausgeführten Binärdateien laden (LDPRELOAD). Der Aufrufer des Programms kann willkürlichen Code in diesem Programmkontext ausführen, indem er eine speziell gestaltete libc. so in LDLIBRARYPATH (ua Taktik) platziert. Alle sane-Systeme ignorieren die LD-Variablen in setuid executables. In Shells wie sh, csh und Derivaten werden Umgebungsvariablen automatisch zu Shell-Parametern. Durch Parameter wie PATH. IFS. Und viele mehr, hat der Aufrufer des Skripts viele Möglichkeiten, beliebigen Code im Shell-Skripts-Kontext auszuführen. Einige Shells setzen diese Variablen zu sane Defaults, wenn sie erkennen, dass das Skript mit Privilegien aufgerufen wurde, aber ich weiß nicht, dass es eine bestimmte Implementierung, die ich vertrauen würde. Die meisten Laufzeitumgebungen (ob nativ, Bytecode oder interpretiert) haben ähnliche Eigenschaften. Einige nehmen besondere Vorkehrungen in setuid executables, obwohl diejenigen, die nativen Code laufen oft dont tun etwas fancier als dynamische Verknüpfung (die Vorkehrungen treffen). Perl ist eine bemerkenswerte Ausnahme. Es unterstützt explizit setuid-Scripts auf sichere Weise. Tatsächlich kann Ihr Skript setuid ausführen, selbst wenn Ihr OS das setuid-Bit auf Skripts ignoriert. Das liegt daran, dass perl mit einem Setuid-Root-Helper ausgeliefert wird, der die notwendigen Prüfungen durchführt und den Dolmetscher erneut auf die gewünschten Skripts mit den gewünschten Rechten setzt. Dies wird im perlsec-Handbuch erklärt. Es verwendet werden, dass setuid Perl-Skripte benötigt / usr / bin / suidperl - wT anstelle von / usr / bin / perl - wT. Aber auf den meisten modernen Systemen genügt / usr / bin / perl - wT. Beachten Sie, dass mit einem nativen binären Wrapper nichts an sich, um diese Probleme zu verhindern. In der Tat kann es die Situation noch schlimmer machen. Da es möglicherweise verhindern, dass Ihre Laufzeitumgebung erkennt, dass es mit Berechtigungen aufgerufen wird und seine Laufzeitkonfiguration geändert wird. Ein nativer binärer Wrapper kann ein Shell-Skript sicher machen, wenn der Wrapper die Umgebung desinfiziert. Das Skript muss darauf achten, dass nicht zu viele Annahmen gemacht werden (z. B. über das aktuelle Verzeichnis), aber das geht. Sie können sudo für diese mit der Bereitstellung, um die Umwelt zu sanieren. Blacklisting-Variablen ist fehleranfällig, also immer Whitelist. Mit sudo stellen Sie sicher, dass die envreset-Option aktiviert ist, dass setenv deaktiviert ist und dass envfile und envkeep nur harmlose Variablen enthalten. Setuid shebang ist unsicher, aber meist ignoriert. Wenn Sie ein Programm mit Privilegien ausführen (entweder über sudo oder setuid), schreiben Sie nativen Code oder perl oder starten Sie das Programm mit einem Wrapper, der die Umgebung saniert (z. B. sudo mit der envreset-Option). Diese Diskussion gilt ebenso, wenn Sie setgid für setuid ersetzen. Eigentlich wurde suidperl aus Perl 5.11 entfernt (5.12 stabil): perl5110delta: gt quotsuidperlquot wurde entfernt. Es verwendet, um einen Mechanismus zu emulieren, setuid Berechtigungsbits auf Systemen, die don39t es richtig unterstützen emulieren. Perl5120delta: gt quotsuidperlquot ist nicht mehr Teil von Perl. Es verwendet, um einen Mechanismus zu emulieren, setuid Berechtigungsbits auf Systemen, die don39t es richtig unterstützen emulieren. Ndash Randy Stauner Jul 14 11 at 17:40 Beachten Sie auch diese Zeile aus Perl 5.6.1 docs (vor fast einem Jahrzehnt). Perl561delta: gt Beachten Sie, dass suidperl in keiner aktuellen Version von perl standardmäßig erstellt oder installiert wird. Die Verwendung von Suidperl ist stark entmutigend. Wenn Sie denken, Sie brauchen es, versuchen Sie Alternativen wie Sudo zuerst. Siehe Kurtisane / Sudo. Ndash Randy Stauner Ich fühle mich schlecht, dass he39s plötzlich bekommen downvoted dafür - ich habe speziell gesagt, ich wollte auch unsichere Versionen zu hören, und ich stellte mir eine ausführbare Datei, die ein Shell-Skript Argument, wenn ich es sagte . Offensichtlich ist es massiv unsicher, aber ich wollte wissen, welche Möglichkeiten gibt es ndash Michael Mrozek 9830 Okt 8 10 um 22:58 Wenn Sie nicht aufrufen wollen sudo somescript können Sie einfach tun: SETUID-Programme müssen mit äußerster Sorgfalt entwickelt werden, wie sie laufen mit Root-Berechtigungen und Benutzer haben große Kontrolle über sie. Sie müssen alles überprüfen. Sie können es nicht mit Skripts tun, weil: Shells sind große Stücke von Software, die stark mit Benutzer interagieren. Es ist fast unmöglich, Verständnis überprüfen alles, vor allem, da die meisten der Code ist nicht für den Betrieb in einem solchen Modus. Skripte sind eine meist schnelle Lösung und sind in der Regel nicht so vorbereitet, dass sie Setuid ermöglichen würde. Sie haben viele potenziell gefährliche Merkmale. Sie hängen stark von anderen Programmen ab. Es ist nicht ausreichend, dass die Schale überprüft wurde. Sed Awk. Etc. müsste auch überprüft werden Bitte beachten Sie, dass sudo bietet einige Sanity-Checking, aber es ist nicht ausreichend überprüfen Sie jede Zeile in Ihrem eigenen Code. Als letzte Anmerkung: betrachten Sie Fähigkeiten. Sie ermöglichen es Ihnen, einen Prozess als Benutzer spezielle Berechtigungen, die normalerweise Root-Berechtigungen benötigen ausgeführt. Zum Beispiel, während ping das Netzwerk manipulieren muss, muss es keinen Zugriff auf Dateien haben. Im nicht sicher, aber wenn sie vererbt werden. Sie können einen Alias ​​für sudo den Namen des Skripts. Natürlich ist das noch mehr Arbeit einzurichten, da du dann auch einen Alias ​​einrichten musst, aber es erspart dir, Sudo zu schreiben. Aber wenn Sie dont dagegen schreckliche Sicherheitsrisiken, verwenden Sie eine setuid-Shell als Interpreter für das Shell-Skript. Dont wissen, ob thatll Arbeit für Sie, aber ich denke, es könnte. Lassen Sie mich sagen, dass ich raten, dies tatsächlich tun. Im nur erwähnen es für pädagogische Zwecke -) beantwortet Aug 12 10 at 6:38 Es wird funktionieren. Schrecklich, wie Sie gesagt haben. SETUID-Bit erlaubt Ausführung mit dem Besitzerrecht. Setuid-Shell (sofern es nicht für setuid entwickelt wurde) wird als root für jeden Benutzer ausgeführt. D. h. Kann jeder rm - rf 47 laufen lassen (und andere Befehle der Serie DON39T DO IT AT HOME). Ndash Maciej Piechotka MaciejPiechotka von DON39T DO IT AT HOME Sie bedeuten, Fühlen Sie sich frei, dass bei der Arbeit zu tun :) ndash peterph Super-r reqpath Befehl args Super ermöglicht es bestimmten Benutzern, Skripte auszuführen (Oder andere Befehle), als wären sie root, oder sie können die uid-, gid - und / oder ergänzenden Gruppen auf pro Befehlsebene setzen, bevor sie den Befehl ausführen. Es ist beabsichtigt, eine sichere Alternative zu Skripts setuid root zu sein. Super erlaubt auch gewöhnlichen Benutzern, Befehle für die Ausführung durch andere bereitzustellen, die diese mit den uid, gid und Gruppen des Benutzers ausführen, der den Befehl anbietet. Super konsultiert eine super. tab-Datei, um zu sehen, ob der Benutzer den angeforderten Befehl ausführen darf. Wenn die Berechtigung erteilt wird, wird super pgm args ausführen, wobei pgm das Programm ist, das diesem Befehl zugeordnet ist. (Root ist die Ausführung standardmäßig erlaubt, kann aber trotzdem verweigert werden, wenn eine Regel root ausschließt.) Normalerweise wird die Ausführung standardmäßig deaktiviert.) Wenn der Befehl eine symbolische Verknüpfung (oder eine feste Verknüpfung) des Superprogramms ist, dann den Befehl args eingeben Ist der Typisierung super Befehl args (Der Befehl darf nicht super sein, oder super wird nicht erkennen, dass seine aufgerufen über einen Link.) Ich versuche, LDPRELOAD verwenden, um eine Bibliothek mit einer Anwendung, die über setuid Berechtigungen verfügt. Tested LDPRELOAD auf den ersten, und es schien, wie es mit der setuid binary ignoriert wurde, obwohl es funktionierte, wenn ich es mit anderen wie ls versucht. Dir etc. Aus der Dokumentation von LDPRELOAD: Ich habe versucht, die Bibliothek in / usr / lib zu setzen. / Usr / local / lib. Und / usr / lib64 mit setuid Berechtigungen wie in dieser Dokumentation oben, aber es scheint immer noch nicht funktionieren. Wenn ich nicht geben LDPRELOAD einen Pfad in dem Fall, wo ich die Bibliothek in der Standard-Verzeichnisse mit setuid, kann es nicht scheinen, die Bibliothek zu finden. Wenn ich ihm den Weg gebe, tut er nichts. Die setuid-Binärdatei ist eine Root-Berechtigungs-Binärdatei, die in einer Nicht-Root-Benutzer-Shell ausgeführt wird. Irgendwelche Gedanken Nicht sicher, wenn ich einen Pfad, eine Umgebungsvariable fehle, oder ich bin Missverständnis der Dokumentation oben. Bearbeiten. Berechtigungen wie gewünscht sind: Wenn Sie SELinux verwenden, kann dies an ihm liegen. Einer der ELF-Hilfsvektoren, die glibc unterstützt, ist ATSECURE. Dieser spezielle Parameter (der standardmäßig entweder 0 oder 1 ist) teilt dem dynamischen ELF-Linker mit, dass er verschiedene Umgebungsvariablen deaktiviert, die für Ihr System potentiell schädlich sind. Eine davon ist LDPRELOAD. Normalerweise wird diese Umgebung saniert, wenn eine setuid / setgid Anwendung aufgerufen wird (um die offensichtlichen Schwachstellen zu vermeiden). SELinux hat diese Hygiene auch dann noch verstärkt, wenn eine Anwendung einen Domainübergang in SELinux auslöst (sysadmt to mozillat über ein binär beschriftetes moz oder was auch immer). SELinux setzt das ATSECURE-Flag für die geladene Anwendung (im Beispiel mozilla / firefox). Die noatsecure-Berechtigung deaktiviert die Umweltsanierung für einen bestimmten Übergang. Sie können dies durch die folgende allow-Anweisung (wie es auf das Beispiel oben gelten würde) tun: beantwortet 11 Februar um 9:50 Ist Selinux-Sicherheit erweiterte Linux oder Suse Enterprise Im Betrieb der letzteren. Tut das, was Sie erwähnt noch für Suse Enterprise ndash Mark Lobo SELinux ist eine Option in SUSE Enterprise ab 11.1. Wenn Sie es nicht verwenden, aber meine Antwort doesn39t zutreffen. Ndash Michael Foukarakis Feb 13 12 at 19:02