PAMSC 14.10.70.x 適用後にカーネルモジュールのアンロードが失敗する

Products

• CA Privileged Access Manager - Server Control (PAMSC)

Issue/Introduction

Privileged Access Manager Server Control ( 以下、 PAMSC)  14.10.70.116 をインストールした。
カーネルモジュールをアンロードしようとすると、アクティブなシステムコールが存在するため、アンロードできないと表示される。

# SEOS_load -u
SEOS_load: ロード/アンロード exitファイルを実行しています。  /opt/CA/PAMSC/exits/LOAD/SEOS_unload_int.always -pre
Ports - nothing to do ...
SEOS_load: ロード/アンロード exitファイルを実行しています。  /opt/CA/PAMSC/exits/LOAD/SEOS_unload_unab.always -pre
ERROR: cannot unload SEOS_syscall.
       There are active system calls.
       Run secons -scl to list active system calls.

# SEOS_load -u
SEOS_load: ロード/アンロード exitファイルを実行しています。  /opt/CA/PAMSC/exits/LOAD/SEOS_unload_int.always -pre
Ports - nothing to do ...
UNIX sockets - nothing to do ...
SEOS_load: ロード/アンロード exitファイルを実行しています。  /opt/CA/PAMSC/exits/LOAD/SEOS_unload_unab.always -pre

successfully disabled module seos_1410_70_113.
rmmod: ERROR: Module seos_1410_70_113 is in use
ERROR: cannot unload SEOS_syscall.
SEOS_load: ロード/アンロード exitファイルを実行しています。  /opt/CA/PAMSC/exits/LOAD/SEOS_unload_int.always -post
SEOS_load: ロード/アンロード exitファイルを実行しています。  /opt/CA/PAMSC/exits/LOAD/SEOS_unload_unab.always -post

Check_active_syscallsがアンロードに失敗すると、システムコールは /proc/seos_enabled が保存されたままになり、システムコールがアクティブのままとなる。
このため、カーネルモジュールのパッチを適用しても、古いカーネルモジュールが残ったままとなり更新されない。

Environment

Privileged Access Manager Server Control: Linux 版 14.1.7 以降

Cause

SEOS_load に check_active_syscalls() を追加する前の変更では、正しいメッセージを表示させ、パフォーマンスの向上を狙っていましたが、正しくカーネルモジュールを無効化することができませんでした。
無効化ができていないため、パッチを適用後に PAMSC を再起動しても、古いカーネルモジュールが有効なままなので、カーネルモジュールの更新が行われませんでした。
最終的に有効な古いカーネルモジュールが使用されていました。

Resolution

本問題を解消するために、テクニカルサポートのケースをオープンして以下のパッチを入手して適用してください。
この修正では古い有効化されたカーネルモジュールを無効化する処理が追加されています。

DE652024/14.10.70.127/acpatch-DE652024-14.10.70.127

Additional Information

本文書は 以下の英文の KB を翻訳し、加筆修正しました。

Article ID: 418554: Problem to Unload Syscall after appying package 14.10.70.x