itB!HatenaPocketLINELINEこんにちは、プラットフォーム技術部の佐藤です。S2-045】SELinuxポリシーのバグフィックスでTomcatアプリのRCEは防げるようになったのか』で、記事を書かせていただきました。無効状態よりは防御力はあがる、ということを確認できたと思っています。用デフォルトポリシーをカストマイズして、更なる防御力アップを目指したいと思います。配備されているコマンド群です。悪用被害を軽減します。自体を起動するための処理に必要なコマンドもあるので、単純に剥奪しただけでは宜しくないのですが、それらへの対処についても実施していきます。ポリシーのソースを取り出して変更していきます。ポリシーのソース入手ソースパッケージのダウンロードとビルドに必要なパッケージをインストールします。ソースパッケージをダウンロードします。ビルドに必要な依存パッケージをインストールします。ソースパッケージをインストールします。パッチ適用まで実施します。ポリシーモジュールのソースが出来上がりました。rpmbuild/BUILD/serefpolicy-3.13.1/policy/modules/contrib/tomcat.*rpmbuild/BUILD/serefpolicy-3.13.1/policy/modules/contrib/tomcat.fcrpmbuild/BUILD/serefpolicy-3.13.1/policy/modules/contrib/tomcat.ifrpmbuild/BUILD/serefpolicy-3.13.1/policy/modules/contrib/tomcat.teこちらのソースをベースに新ポリシーモジュールを作成していきます。ポリシーモジュールのソースをコピーします。許可する定義はありません。それぞれ許可されるようなので、これを削除します。tomcat.te他にも不要そうな実行権限らしきものがあったので削除しています。オリジナルとの差分は以下になりました。rpm_exec(tomcat_domain)ビルドします。関係の定義ですので無視します。使うという手もあります。必要かつ時間がかかります。ポリシーモジュールのインストールビルドしたポリシーモジュールをインストールします。インストールされます。モジュールを削除すれば元の状態に戻すことができます。含まれなくなっていることが確認できます。含まれなくなりました。つの実行権限が減ったことになります。