<div dir="ltr"><div class="gmail_default" style="font-family:verdana,sans-serif"><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">Hi Christian <br><br>>> This is the usual review policy for AppArmor (...) <br>>> Maybe you heard about usrMerge <br><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">OK, thanks for explanations. It is logical. Yes, I've read about usrMerge - but it was a long time ago. If I remember correctly, it was on Fedora project website. <br><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">Anyway, I would like to ask about two rules - basically permissions - used in the logrotate profile; <br><br>/{usr/,}sbin/initctl Ux, <br>/{usr/,}sbin/runlevel Ux, <br><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">It is secure to use "Ux"?<span class="blogbody"> According to this website [1]; "</span><span class="blogbody">In the case of an allowed application with a Ux rule, the kernel sets the AT_SECURE auxilary vector in the loaded ELF image. </span><span class="blogbody">This results in the linker (ld.so) sanitizing many dangerous environment variables, including LD_PRELOAD and LD_LIBRARY_PATH (...)" <br><br></span></div><div class="gmail_default" style="font-family:verdana,sans-serif"><span class="blogbody">Seth answer [2]. I'm just asking - maybe it's OK, but I'm just curious. What is your opinion about this one? Should it be changed, or as Seth has wrote; "</span>depending upon what they do with init, you could drag in a huge amount of privileges to this profile that logically belong to upstart instead (...)" <span class="blogbody"><br></span></div><div class="gmail_default" style="font-family:verdana,sans-serif"><span class="blogbody"><br>Best regards. <br></span></div><div class="gmail_default" style="font-family:verdana,sans-serif"><span class="blogbody">_____________<br>[1] <a href="http://blog.azimuthsecurity.com/2012/09/poking-holes-in-apparmor-profiles.html">http://blog.azimuthsecurity.com/2012/09/poking-holes-in-apparmor-profiles.html</a> <br>[2] <a href="https://lists.ubuntu.com/archives/apparmor/2016-December/010359.html">https://lists.ubuntu.com/archives/apparmor/2016-December/010359.html</a><br></span></div><div class="gmail_default" style="font-family:verdana,sans-serif"><br></div></div>