O que é o acesso ao mapa no contexto do SELinux

Mapeamento refere-se ao mapeamento de memória (um arquivo usando mmap(2) ). A página wiki do SELinux para permissões e classes de objetos documenta a maioria das permissões do SELinux, mas não é atualizada desde 2013 e não inclui permissão de mapa.

As mensagens de commit ^{[1] [2]} fornecem alguns detalhes adicionais:

Quando um arquivo é aberto e, em seguida, lido ou gravado por meio de syscalls como read(2)/write(2), revalidamos o acesso em cada operação de leitura/gravação via selinux_file_permission() e, portanto, podemos revogar o acesso se o contexto do processo, o contexto do arquivo, ou a política muda de tal maneira que o acesso não é mais permitido. Quando um arquivo é aberto e, em seguida, mapeado na memória via mmap(2) e posteriormente lido ou gravado diretamente na memória, atualmente não temos como revalidar ou revogar o acesso. O objetivo de uma verificação de permissão de mapa separada no mmap(2) é permitir que a política proíba o mapeamento de memória de arquivos específicos para os quais precisamos garantir que todo acesso seja revalidado, particularmente útil para cenários em que esperamos que o arquivo seja renomeado em tempo de execução para refletir mudanças de estado (por exemplo, solução entre domínios, pipeline garantido sem cópia de dados).