Tentando manter o SElinux Enforced no CentOS e permitindo que o clamAV analise os arquivos. Mas parece que o SElinux não gosta do seguinte comportamento do clamd:
Clamd is listening on a predefined TCP port then use random TCP ports to exchange the files to check with the client
em suma ... Cada arquivo sendo escaneado abre uma nova porta.
Desativar o SElinux tudo funciona bem, então definitivamente é um problema relacionado à política do SElinux.
Com o clamd ativado e imposto pelo SElinux, o seguinte problema é encontrado:
● clamd.service - clamd scanner () daemon
Loaded: loaded (/usr/lib/systemd/system/clamd.service; static; vendor preset: disabled)
Active: active (running) since Thu 2017-06-22 15:56:57 CEST; 27min ago
Main PID: 3671 (clamd)
CGroup: /system.slice/clamd.service
└─3671 /usr/sbin/clamd -c /etc/clamd.d/scan.conf --foreground=yes
Jun 22 15:57:06 prd-app-srv clamd[3671]: HWP3 support enabled.
Jun 22 15:57:06 prd-app-srv clamd[3671]: Self checking every 600 seconds.
Jun 22 15:58:05 prd-app-srv clamd[3671]: ScanStream: Can't find any free port.
Jun 22 15:58:05 prd-app-srv clamd[3671]: ERROR: ScanStream: Can't find any free port.
Jun 22 16:08:05 prd-app-srv clamd[3671]: SelfCheck: Database status OK.
Jun 22 16:08:05 prd-app-srv clamd[3671]: SelfCheck: Database status OK.
Jun 22 16:08:24 prd-app-srv clamd[3671]: ERROR: ScanStream: Can't find any free port.
Jun 22 16:08:24 prd-app-srv clamd[3671]: ScanStream: Can't find any free port.
Jun 22 16:18:24 prd-app-srv clamd[3671]: SelfCheck: Database status OK.
Jun 22 16:18:24 prd-app-srv clamd[3671]: SelfCheck: Database status OK.
Em /var/log/audit/audit.log, encontro as seguintes entradas de registros:
type=AVC msg=audit(1498156946.689:4165): avc: denied { name_bind } for pid=4086 comm="clamd" src=30860 scontext=system_u:system_r:antivirus_t:s0 tcontext=system_u:object_r:unreserved_port_t:s0 tclass=tcp_socket
type=SYSCALL msg=audit(1498156946.689:4165): arch=c000003e syscall=49 success=no exit=-13 a0=b a1=7fdc8fc31a90 a2=10 a3=1f items=0 ppid=1 pid=4086 auid=4294967295 uid=995 gid=994 euid=995 suid=995 fsuid=995 egid=994 sgid=994 fsgid=994 tty=(none) ses=4294967295 comm="clamd" exe="/usr/sbin/clamd" subj=system_u:system_r:antivirus_t:s0 key=(null)
isso parece estar intimamente relacionado: link
Alguém conhece uma política de selinux que bloqueará um serviço para abrir todas as portas desejadas?
Gostaria de deixar o SElinux ativado e aplicado e resolver o problema da maneira menos invasiva
Resolvido definindo o intervalo de portas que o clamd usa, em /etc/clamd.d/scan.conf
StreamingMinPort 30000
StreamingMaxPort 32000
e refletindo o mesmo intervalo de portas na política do selinux
semanage port -a -t clamd_port_t -p tcp 30000-32000
Alguém conhece uma maneira mais limpa ou menos invasiva de gerenciar o problema?