Linux kernel com grsec + Java / Apache Tomcat

Question

Eu tenho um servidor dedicado Linux de 64 bits. O kernel tem o patch grsec aplicado.

Estou usando principalmente este servidor para executar o Apache Tomcat (6.0.26, Java 6) e tudo parece bem.

O único problema é que, quando eu inicio o Tomcat, recebo alguns destes:

grsec: From xxx.xxx.xxx.xxx: Segmentation fault occurred at 00007fefe04e4000 in /home/t/jre1.6.0_20/bin/java[java:22403] uid/euid:1001/1001 gid/egid:1001/1001, parent /sbin/init[init:1] uid/euid:0/0 gid/egid:0/0
grsec: more alerts, logging disabled for 10 seconds

Em seguida, não há mais registros de erros. Está tudo bem.

O kernel é:

Linux 2.6.32.2-xxxx-grs-ipv4-64 #1 SMP Tue Dec 29 14:41:12 UTC 2009 x86_64 GNU/Linux

E a webapp funciona bem.

Portanto, há falha de segmentação quando o Tomcat é iniciado, mas tudo parece funcionar bem.

Isso é preocupante? Devo mudar para um kernel não-grsec?

    

Answer 1

Também sou hospedado pela OVH e tenho um monte disso:

Jul 20 07:29:25 nsxxxxxx kernel: grsec: A partir de xxxx: Ocorreu uma falha de segmentação em 00007f0e17e3e300 em /usr/lib/jvm/java-6-sun-1.6.0.17/jre/bin/java[java:4177 ] uid / euid: 1011/1011 gid / egid: 1011/1011, parent / sbin / init [init: 1] uid / euid: 0/0 gid / egid: 0/0

Jul 20 07:29:25 nsxxxxxx kernel: grsec: De xxxx: Ocorreu uma falha de segmentação em 0000000000000008 em /usr/lib/jvm/java-6-sun-1.6.0.17/jre/bin/java[java:30441 ] uid / euid: 1011/1011 gid / egid: 1011/1011, parent / sbin / init [init: 1] uid / euid: 0/0 gid / egid: 0/0

Jul 20 07:29:25 nsxxxxxx kernel: grsec: De xxxx: Ocorreu uma falha de segmentação em 0000000000000008 em /usr/lib/jvm/java-6-sun-1.6.0.17/jre/bin/java[java:30441 ] uid / euid: 1011/1011 gid / egid: 1011/1011, parent / sbin / init [init: 1] uid / euid: 0/0 gid / egid: 0/0

Jul 20 07:30:00 nsxxxxxx kernel: grsec: De xxxx: Ocorreu uma falha de segmentação em 0000000000000008 em /usr/lib/jvm/java-6-sun-1.6.0.17/jre/bin/java[java:30620 ] uid / euid: 1011/1011 gid / egid: 1011/1011, parent / sbin / init [init: 1] uid / euid: 0/0 gid / egid: 0/0

Jul 20 07:30:02 nsxxxxxx kernel: grsec: De xxxx: Ocorreu uma falha de segmentação em 0000000000000008 em /usr/lib/jvm/java-6-sun-1.6.0.17/jre/bin/java[java:30620 ] uid / euid: 1011/1011 gid / egid: 1011/1011, parent / sbin / init [init: 1] uid / euid: 0/0 gid / egid: 0/0

Jul 20 07:30:02 nsxxxxxx kernel: grsec: De xxxx: Ocorreu uma falha de segmentação em 000000000000001c em /usr/lib/jvm/java-6-sun-1.6.0.17/jre/bin/java[java:30672 ] uid / euid: 1011/1011 gid / egid: 1011/1011, parent / sbin / init [init: 1] uid / euid: 0/0 gid / egid: 0/0

Jul 20 07:30:14 nsxxxxxx kernel: grsec: De xxxx: Ocorreu uma falha de segmentação em 0000000000000008 em /usr/lib/jvm/java-6-sun-1.6.0.17/jre/bin/java[java:30683 ] uid / euid: 1011/1011 gid / egid: 1011/1011, parent / sbin / init [init: 1] uid / euid: 0/0 gid / egid: 0/0

Jul 20 07:30:14 nsxxxxxx kernel: grsec: De xxxx: Ocorreu uma falha de segmentação em 0000000000000008 em /usr/lib/jvm/java-6-sun-1.6.0.17/jre/bin/java[java:30683 ] uid / euid: 1011/1011 gid / egid: 1011/1011, pai / sbin / init [init: 1] uid / euid: 0/0 gid / egid: 0/0 ...

Parece que mudar o kernel para um não GRSEC poderia funcionar.

    

Answer 2

Java, entre outras coisas, é conhecido por não tocar bem junto com o grsec.

Você terá que usar o chpax pelo menos contra o binário Java, mas mudar para um kernel não-grsec é uma opção melhor.