<div dir="ltr">Hi,<div><br></div><div>I would be happy to help. I have several machines running Stretch with a variety of hardware and uses (desktop/server, Intel/NVIDIA GPUs etc.).  Are there specific apparmor profiles you wish to test?</div><div><br></div><div>As for the totem profile on Stretch, simply adding <span style="font-size:12.8px">#include <abstractions/nvidia> to /etc/apparmor.d/local/usr.bin/totem and reloading the profile did not fix the issue:</span></div><div><span style="font-size:12.8px"><br></span></div><div><div><span style="font-size:12.8px">jason@jason-desktop:/etc/apparmor.d$ /usr/bin/totem</span></div><div><span style="font-size:12.8px"><br></span></div><div><span style="font-size:12.8px">(totem:9153): Cogl-WARNING **: driver/gl/cogl-util-gl.c:96: GL error (1281): Invalid value</span></div><div><span style="font-size:12.8px">(totem:9153): Cogl-WARNING **: driver/gl/cogl-util-gl.c:96: GL error (1281): Invalid value</span></div><div><span style="font-size:12.8px">(totem:9153): Cogl-WARNING **: driver/gl/cogl-util-gl.c:96: GL error (1281): Invalid value</span></div><div><span style="font-size:12.8px">(totem:9153): Cogl-WARNING **: driver/gl/cogl-util-gl.c:96: GL error (1281): Invalid value</span></div><div><span style="font-size:12.8px">(totem:9153): Cogl-WARNING **: driver/gl/cogl-util-gl.c:96: GL error (1281): Invalid value</span></div><div><span style="font-size:12.8px">Segmentation fault</span></div></div><div><span style="font-size:12.8px"><br></span></div><div>The audit log shows continued errors related to the NVIDIA driver:</div><div><br></div><div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.329:300): apparmor="DENIED" operation="open" profile="/usr/bin/totem" name="/dev/nvidia-modeset" pid=9153 comm="totem" requested_mask="rw" denied_mask="rw" fsuid=1000 ouid=0</div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.329:301): apparmor="DENIED" operation="open" profile="/usr/bin/totem" name="/dev/nvidia-modeset" pid=9153 comm="totem" requested_mask="rw" denied_mask="rw" fsuid=1000 ouid=0</div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.349:302): apparmor="DENIED" operation="file_mmap" profile="/usr/bin/totem" name="/tmp/.glVcerPq" pid=9153 comm="totem" requested_mask="m" denied_mask="m" fsuid=1000 ouid=1000</div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.349:303): apparmor="DENIED" operation="file_mmap" profile="/usr/bin/totem" name="/tmp/.glVcerPq" pid=9153 comm="totem" requested_mask="m" denied_mask="m" fsuid=1000 ouid=1000</div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.349:304): apparmor="DENIED" operation="mkdir" profile="/usr/bin/totem" name="/home/jason.nv/" pid=9153 comm="totem" requested_mask="c" denied_mask="c" fsuid=1000 ouid=1000</div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.353:305): apparmor="DENIED" operation="file_mmap" profile="/usr/bin/totem" name="/tmp/.gl6sStVi" pid=9153 comm="totem" requested_mask="m" denied_mask="m" fsuid=1000 ouid=1000</div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.353:306): apparmor="DENIED" operation="file_mmap" profile="/usr/bin/totem" name="/tmp/.gl6sStVi" pid=9153 comm="totem" requested_mask="m" denied_mask="m" fsuid=1000 ouid=1000</div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.353:307): apparmor="DENIED" operation="mkdir" profile="/usr/bin/totem" name="/home/jason.nv/" pid=9153 comm="totem" requested_mask="c" denied_mask="c" fsuid=1000 ouid=1000</div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.397:308): apparmor="DENIED" operation="open" profile="/usr/bin/totem" name="/var/lib/flatpak/exports/share/icons/hicolor/index.theme" pid=9153 comm="totem" requested_mask="r" denied_mask="r" fsuid=1000 ouid=0</div><div>Oct 31 10:26:56 kernel: audit: type=1400 audit(1509460016.397:309): apparmor="DENIED" operation="open" profile="/usr/bin/totem" name="/var/lib/flatpak/exports/share/icons/hicolor/icon-theme.cache" pid=9153 comm="totem" requested_mask="r" denied_mask="r" fsuid=1000 ouid=0</div><div>jason@jason-desktop:/etc/apparmor.d$ </div></div><div><br></div><div><br></div><div>I also tried using the usr.bin.totem profile from sid, but that also failed:</div><div><br></div><div><div>jason@jason-desktop:/etc/apparmor.d/local$ /usr/bin/totem</div><div><br></div><div>(totem:11884): Cogl-WARNING **: driver/gl/cogl-util-gl.c:96: GL error (1281): Invalid value</div><div>(totem:11884): Grilo-WARNING **: [bookmarks] grl-bookmarks.c:255: Could not open database '/home/jason/.local/share/grilo-plugins/grl-bookmarks.db': Failed to open database at /home/jason/.local/share/grilo-plugins/grl-bookmarks.db</div><div>(totem:11884): GVFS-WARNING **: can't init metadata tree /home/jason/.local/share/gvfs-metadata/root: open: Permission denied</div><div>(totem:11884): GVFS-WARNING **: can't init metadata tree /home/jason/.local/share/gvfs-metadata/root: open: Permission denied</div><div>(totem:11884): GrlPodcasts-CRITICAL **: Failed to open database '': unable to open database file</div><div>(totem:11884): Grilo-WARNING **: [thetvdb] grl-thetvdb.c:390: Could not open database '/home/jason/.local/share/grilo-plugins/grl-thetvdb.db': Failed to open database at /home/jason/.local/share/grilo-plugins/grl-thetvdb.db</div><div>Segmentation fault</div></div><div><br></div><div>The audit log still contains NVIDIA related errors:</div><div><br></div><div><div>Oct 31 10:41:52 kernel: audit: type=1400 audit(1509460912.787:317): apparmor="DENIED" operation="open" profile="/usr/bin/totem" name="/dev/nvidia-modeset" pid=11884 comm="totem" requested_mask="rw" denied_mask="rw" fsuid=1000 ouid=0</div><div>Oct 31 10:41:52 kernel: audit: type=1400 audit(1509460912.787:318): apparmor="DENIED" operation="open" profile="/usr/bin/totem" name="/dev/nvidia-modeset" pid=11884 comm="totem" requested_mask="rw" denied_mask="rw" fsuid=1000 ouid=0</div><div>Oct 31 10:41:52 kernel: audit: type=1400 audit(1509460912.815:319): apparmor="DENIED" operation="file_mmap" profile="/usr/bin/totem" name="/tmp/.gl5DoxkC" pid=11884 comm="totem" requested_mask="m" denied_mask="m" fsuid=1000 ouid=1000</div><div>Oct 31 10:41:52 kernel: audit: type=1400 audit(1509460912.815:320): apparmor="DENIED" operation="file_mmap" profile="/usr/bin/totem" name="/tmp/.gl5DoxkC" pid=11884 comm="totem" requested_mask="m" denied_mask="m" fsuid=1000 ouid=1000</div><div>Oct 31 10:41:52 kernel: audit: type=1400 audit(1509460912.815:321): apparmor="DENIED" operation="mkdir" profile="/usr/bin/totem" name="/home/jason.nv/" pid=11884 comm="totem" requested_mask="c" denied_mask="c" fsuid=1000 ouid=1000</div><div>Oct 31 10:41:52 kernel: audit: type=1400 audit(1509460912.819:322): apparmor="DENIED" operation="file_mmap" profile="/usr/bin/totem" name="/tmp/.gloFEGp9" pid=11884 comm="totem" requested_mask="m" denied_mask="m" fsuid=1000 ouid=1000</div><div>Oct 31 10:41:52 kernel: audit: type=1400 audit(1509460912.819:323): apparmor="DENIED" operation="file_mmap" profile="/usr/bin/totem" name="/tmp/.gloFEGp9" pid=11884 comm="totem" requested_mask="m" denied_mask="m" fsuid=1000 ouid=1000</div><div>Oct 31 10:41:52 kernel: audit: type=1400 audit(1509460912.819:324): apparmor="DENIED" operation="mkdir" profile="/usr/bin/totem" name="/home/jason.nv/" pid=11884 comm="totem" requested_mask="c" denied_mask="c" fsuid=1000 ouid=1000</div><div>Oct 31 10:41:52 kernel: audit: type=1400 audit(1509460912.831:325): apparmor="DENIED" operation="open" profile="/usr/bin/totem" name="/home/jason/.cache/gstreamer-1.0/registry.x86_64.bin" pid=11884 comm="totem" requested_mask="r" denied_mask="r" fsuid=1000 ouid=1000</div><div>jason@jason-desktop:/etc/apparmor.d/local$ </div></div><div><br></div><div><span style="font-size:12.8px">Thanks,</span></div><div><span style="font-size:12.8px"><br></span></div><div><span style="font-size:12.8px">Jason</span></div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Oct 31, 2017 at 3:06 AM, intrigeri <span dir="ltr"><<a href="mailto:intrigeri@debian.org" target="_blank">intrigeri@debian.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hi,<br>
<br>
Jason Cohen:<br>
> I am seeing the same behavior in Stretch<br>
<br>
I'm not surprised. It's very likely that a number of the AppArmor<br>
policy fixes that were pushed to testing/sid (in src:apparmor* at<br>
least) since the Stretch release apply to Stretch as well. It would be<br>
nice if someone identified them so we can prepare a Stretch update.<br>
Such triaging is needed so that the proposed diff against Stretch is<br>
as small as possible, which eases reviews by the Release Team and<br>
decreases chances of introducing regressions. Would you be interested<br>
in this?<br>
<br>
Personally I'll treat this with low priority *for now*: I want to<br>
focus my AppArmor time on the "enabling AppArmor by default in<br>
Buster" experiment.<br>
<br>
Thanks for flagging this bug as affecting 1.11!<br>
<br>
Cheers,<br>
<span class="HOEnZb"><font color="#888888">--<br>
intrigeri<br>
</font></span></blockquote></div><br></div>