Bug 59663

Summary:	Некорректная работа "Аудита событий завершения и перезагрузки системы"
Product:	Sisyphus	Reporter:	Mikhail D Hoteev <hoteevmd>
Component:	altcenter	Assignee:	Andrey Cherepanov <cas>
Status:	NEW ---	QA Contact:	qa-sisyphus
Severity:	normal
Priority:	P5	CC:	cas, maslakovis, sychkinsv
Version:	unstable
Hardware:	x86_64
OS:	Linux

Description

Mikhail D Hoteev 2026-06-27 18:52:49 MSK

Тестировалось на стендах:
Alt Workstation 11.1 x86_64
Alt KWorkstation 11.4 x86_64
Alt Education 11.1 XFCE/KDE x86_64

Версии пакетов:
altcenter-1.0-alt0.39
audit-4.1.3-alt1

Описание:
Некорректно работает настройка журналов аудита "Аудит событий завершения и перезагрузки системы". Она записывает в /etc/audit/rules.d/70-altcenter.rules следующие правила для auditctl:
-w /usr/bin/loginctl -p x -k system_power
-w /bin/loginctl -p x -k system_power
-w /usr/sbin/reboot -p x -k system_power
-w /sbin/reboot -p x -k system_power
-w /usr/sbin/poweroff -p x -k system_power
-w /sbin/poweroff -p x -k system_power
-w /usr/sbin/shutdown -p x -k system_power
-w /sbin/shutdown -p x -k system_power
-w /usr/sbin/halt -p x -k system_power
-w /sbin/halt -p x -k system_power

Однако при вызове 
# ausearch -k system_power 
выводятся только вызовы для loginctl. Все остальные записи - это многочисленные сообщения об изменении конфигурации вида:
type=PROCTITLE msg=audit(1782574063.278:22): proctitle=2F7573722F7362696E2F617564697463746C002D52002F6574632F61756469742F61756469742E72756C6573
type=PATH msg=audit(1782574063.278:22): item=0 name="/sbin/" inode=1179707 dev=08:02 mode=040755 ouid=0 ogid=0 rdev=00:00 obj=unlabeled nametype=PARENT cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0
type=CWD msg=audit(1782574063.278:22): cwd="/"
type=SOCKADDR msg=audit(1782574063.278:22): saddr=100000000000000000000000
type=SYSCALL msg=audit(1782574063.278:22): arch=c000003e syscall=44 success=yes exit=1080 a0=3 a1=7ffcfb95b060 a2=438 a3=0 items=1 ppid=782 pid=800 auid=4294967295 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=4294967295 comm="auditctl" exe="/usr/sbin/auditctl" subj=kernel key=(null)
type=CONFIG_CHANGE msg=audit(1782574063.278:22): auid=4294967295 ses=4294967295 subj=kernel op=add_rule key="system_power" list=4 res=1

Предполагаю, что это вызвано тем, что loginctl - это реальный бинарник, а все остальные файлы являются симлинками на systemctl. 
Эта настройка аудита добавлена в altcenter-1.0-alt0.38, поэтому в p11 не воспроизводится.

Как частичный workaround можно выполнить 
# ausearch -i -m SYSTEM_BOOT,SYSTEM_SHUTDOWN,SYSTEM_RUNLEVEL -ts today 
или настроить соответствующие правила. 

[p11] - не воспроизводится
[p11+422424] - воспроизводится
[Sisyphus] - воспроизводится

Comment 1

Mikhail D Hoteev 2026-06-27 19:03:27 MSK

Пример вывода # ausearch -k system_power после вызова loginctl:
type=PROCTITLE msg=audit(1782576019.889:190): proctitle="loginctl"
type=PATH msg=audit(1782576019.889:190): item=1 name="/lib64/ld-linux-x86-64.so.2" inode=786531 dev=08:02 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=unlabeled nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0
type=PATH msg=audit(1782576019.889:190): item=0 name="/usr/bin/loginctl" inode=849897 dev=08:02 mode=0100755 ouid=0 ogid=0 rdev=00:00 obj=unlabeled nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0
type=CWD msg=audit(1782576019.889:190): cwd="/root"
type=EXECVE msg=audit(1782576019.889:190): argc=1 a0="loginctl"
type=SYSCALL msg=audit(1782576019.889:190): arch=c000003e syscall=59 success=yes exit=0 a0=565226074d60 a1=5652261cba90 a2=565226295450 a3=20 items=2 ppid=2617 pid=2838 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts0 ses=4 comm="loginctl" exe="/usr/bin/loginctl" subj=kernel key="system_power"

Comment 2

Сычкин Сергей Витальевич 2026-07-08 20:47:40 MSK

Актуально для версии altcenter-1.0-alt0.40

Comment 3

Маслаков Иван 2026-08-31 15:21:08 MSK

Актуально для версии altcenter-1.0-alt0.43