<html>
  <head>
    <meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
  </head>
  <body bgcolor="#FFFFFF" text="#000000">
    <div class="moz-cite-prefix">On 12/10/13, 4:56 PM, Rodney L. Mercer
      wrote:<br>
    </div>
    <blockquote cite="mid:1386712612.2799.106.camel@osc145" type="cite">
      <pre wrap="">On Tue, 2013-12-10 at 16:31 -0500, Rodney L. Mercer wrote:
</pre>
      <blockquote type="cite" style="color: #000000;">
        <pre wrap=""><span class="moz-txt-citetags">&gt; </span>On Tue, 2013-12-10 at 13:54 -0500, Shawn Wells wrote:
</pre>
        <blockquote type="cite" style="color: #000000;">
          <pre wrap=""><span class="moz-txt-citetags">&gt; &gt; </span>On 12/9/13, 3:48 PM, Rodney L. Mercer wrote:
<span class="moz-txt-citetags">&gt; &gt; </span>
</pre>
          <blockquote type="cite" style="color: #000000;">
            <pre wrap=""><span class="moz-txt-citetags">&gt; &gt; &gt; </span>When "Rule ID: kernel_module_ipv6_option_disabled" passes, "Rule ID:
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>sysctl_ipv6_default_accept_redirects" is doomed to failure.
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>I've figured out a fix for the failure of "Rule ID:
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>sysctl_ipv6_default_accept_redirects CCE-27166-8",
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>when "Rule ID: kernel_module_ipv6_option_disabled CCE-27153-6"
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>passes test.
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>I've attached the diff output between my changes and the original of the
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>sysctl_net_ipv6_conf_default_accept_redirects.xml file contents.
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>Unfortunately, the sysctl_net_ipv6_conf_default_accept_redirects.xml
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>file is generated by: create_sysctl_checks.py,  and the python script
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>does not take into account the problem.
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>Any suggestions for implementation are appreciated.
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>Thanks,
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>Rodney.
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>sysctl_net_ipv6_conf_default_accept_redirects.xml.diff 
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>[root@wahoo checks]# diff sysctl_net_ipv6_conf_default_accept_redirects.xml ~/sysctl_net_ipv6_conf_default_accept_redirects.xml.orig 
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>12,22c12,14
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;     &lt;criteria operator="OR"&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;       &lt;criteria operator="AND"&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;         &lt;criterion comment="kernel runtime parameter net.ipv6.conf.default.accept_redirects set to 0" test_ref="test_runtime_sysctl_net_ipv6_conf_default_accept_redirects" /&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;         &lt;criterion comment="kernel /etc/sysctl.conf parameter net.ipv6.conf.default.accept_redirects set to 0" test_ref="test_static_sysctl_net_ipv6_conf_default_accept_redirects" /&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;       &lt;/criteria&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;       &lt;criteria operator="AND"&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;         &lt;extend_definition comment="IPv6 disabled"
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;         definition_ref="kernel_module_ipv6_option_disabled" /&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;         &lt;criterion comment="ipv6 disabled any modprobe conf file" 
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;         test_ref="test_kernel_module_ipv6_option_disabled" /&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>&lt;       &lt;/criteria&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; </span>---
</pre>
            <blockquote type="cite" style="color: #000000;">
              <blockquote type="cite" style="color: #000000;">
                <pre wrap=""><span class="moz-txt-citetags">&gt; &gt; &gt; &gt; &gt; </span>    &lt;criteria operator="AND"&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; &gt; &gt; </span>      &lt;criterion comment="kernel runtime parameter net.ipv6.conf.default.accept_redirects set to 0" test_ref="test_runtime_sysctl_net_ipv6_conf_default_accept_redirects" /&gt;
<span class="moz-txt-citetags">&gt; &gt; &gt; &gt; &gt; </span>      &lt;criterion comment="kernel /etc/sysctl.conf parameter net.ipv6.conf.default.accept_redirects set to 0" test_ref="test_static_sysctl_net_ipv6_conf_default_accept_redirects" /&gt;
</pre>
              </blockquote>
            </blockquote>
          </blockquote>
          <pre wrap=""><span class="moz-txt-citetags">&gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; </span>Works for me....
<span class="moz-txt-citetags">&gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; </span>[shawn@SSG-RHEL6 checks]$ sudo grep
<span class="moz-txt-citetags">&gt; &gt; </span>ipv6 /etc/modprobe.d/disabled.conf 
<span class="moz-txt-citetags">&gt; &gt; </span>options ipv6 disable=1
<span class="moz-txt-citetags">&gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; </span>[shawn@SSG-RHEL6 checks]$ sudo ./testcheck.py
<span class="moz-txt-citetags">&gt; &gt; </span>kernel_module_ipv6_option_disabled.xml 
<span class="moz-txt-citetags">&gt; &gt; </span>Evaluating with OVAL
<span class="moz-txt-citetags">&gt; &gt; </span>tempfile : /tmp/kernel_module_ipv6_option_disabledwCcEnH.xml
<span class="moz-txt-citetags">&gt; &gt; </span>Writing results
<span class="moz-txt-citetags">&gt; &gt; </span>to : /tmp/kernel_module_ipv6_option_disabledwCcEnH.xml-results
<span class="moz-txt-citetags">&gt; &gt; </span>Definition oval:scap-security-guide.testing:def:323: true
<span class="moz-txt-citetags">&gt; &gt; </span>Evaluation done.
<span class="moz-txt-citetags">&gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; </span>[shawn@SSG-RHEL6 checks]$ sudo sysctl -a | grep
<span class="moz-txt-citetags">&gt; &gt; </span>net.ipv6.conf.default.accept_redirects
<span class="moz-txt-citetags">&gt; &gt; </span>net.ipv6.conf.default.accept_redirects = 0
<span class="moz-txt-citetags">&gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; </span>[shawn@SSG-RHEL6 checks]$ sudo grep
<span class="moz-txt-citetags">&gt; &gt; </span>"net.ipv6.conf.default.accept_redirects" /etc/sysctl.conf 
<span class="moz-txt-citetags">&gt; &gt; </span>net.ipv6.conf.default.accept_redirects = 0
<span class="moz-txt-citetags">&gt; &gt; </span>
<span class="moz-txt-citetags">&gt; &gt; </span>[shawn@SSG-RHEL6 checks]$ ./testcheck.py
<span class="moz-txt-citetags">&gt; &gt; </span>sysctl_net_ipv6_conf_default_accept_redirects.xml 
<span class="moz-txt-citetags">&gt; &gt; </span>Evaluating with OVAL
<span class="moz-txt-citetags">&gt; &gt; </span>tempfile : /tmp/sysctl_net_ipv6_conf_default_accept_redirectsH7PBwZ.xml
<span class="moz-txt-citetags">&gt; &gt; </span>Writing results
<span class="moz-txt-citetags">&gt; &gt; </span>to : /tmp/sysctl_net_ipv6_conf_default_accept_redirectsH7PBwZ.xml-results
<span class="moz-txt-citetags">&gt; &gt; </span>Definition oval:scap-security-guide.testing:def:317: true
<span class="moz-txt-citetags">&gt; &gt; </span>Evaluation done.
<span class="moz-txt-citetags">&gt; &gt; </span>
</pre>
        </blockquote>
        <pre wrap=""><span class="moz-txt-citetags">&gt; </span>Shawn,
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>Here is what I get:
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>[root@wahoo checks]# grep ipv6 /etc/modprobe.d/disabled.conf 
<span class="moz-txt-citetags">&gt; </span>options ipv6 disable=1
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>[root@wahoo checks]# ./testcheck.py
<span class="moz-txt-citetags">&gt; </span>kernel_module_ipv6_option_disabled.xml 
<span class="moz-txt-citetags">&gt; </span>Evaluating with OVAL
<span class="moz-txt-citetags">&gt; </span>tempfile : /tmp/kernel_module_ipv6_option_disabledCQ3qHP.xml
<span class="moz-txt-citetags">&gt; </span>Writing results
<span class="moz-txt-citetags">&gt; </span>to : /tmp/kernel_module_ipv6_option_disabledCQ3qHP.xml-results
<span class="moz-txt-citetags">&gt; </span>Definition oval:scap-security-guide.testing:def:106: true
<span class="moz-txt-citetags">&gt; </span>Evaluation done.
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>[root@wahoo checks]# grep
<span class="moz-txt-citetags">&gt; </span>net.ipv6.conf.default.accept_redirects /etc/sysctl.conf
<span class="moz-txt-citetags">&gt; </span>net.ipv6.conf.default.accept_redirects = 0
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>[root@wahoo checks]# sysctl net.ipv6.conf.default.accept_redirect=0
<span class="moz-txt-citetags">&gt; </span>error: "net.ipv6.conf.default.accept_redirect" is an unknown key
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>[root@wahoo checks]# sysctl -p |grep
<span class="moz-txt-citetags">&gt; </span>net.ipv6.conf.default.accept_redirect
<span class="moz-txt-citetags">&gt; </span>error: "net.ipv6.conf.default.accept_redirects" is an unknown key
<span class="moz-txt-citetags">&gt; </span>error: "net.bridge.bridge-nf-call-ip6tables" is an unknown key
<span class="moz-txt-citetags">&gt; </span>error: "net.bridge.bridge-nf-call-iptables" is an unknown key
<span class="moz-txt-citetags">&gt; </span>error: "net.bridge.bridge-nf-call-arptables" is an unknown key
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>[root@wahoo checks]# /testcheck.py
<span class="moz-txt-citetags">&gt; </span>sysctl_net_ipv6_conf_default_accept_redirects.xml
<span class="moz-txt-citetags">&gt; </span>bash: /testcheck.py: No such file or directory
<span class="moz-txt-citetags">&gt; </span>[root@wahoo checks]# ./testcheck.py
<span class="moz-txt-citetags">&gt; </span>sysctl_net_ipv6_conf_default_accept_redirects.xml
<span class="moz-txt-citetags">&gt; </span>Evaluating with OVAL
<span class="moz-txt-citetags">&gt; </span>tempfile : /tmp/sysctl_net_ipv6_conf_default_accept_redirectsYGpGVn.xml
<span class="moz-txt-citetags">&gt; </span>Writing results
<span class="moz-txt-citetags">&gt; </span>to : /tmp/sysctl_net_ipv6_conf_default_accept_redirectsYGpGVn.xml-results
<span class="moz-txt-citetags">&gt; </span>Definition oval:scap-security-guide.testing:def:100: false
<span class="moz-txt-citetags">&gt; </span>Evaluation done.
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>I also found this old report on the problem:
<span class="moz-txt-citetags">&gt; </span><a moz-do-not-send="true" class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/pipermail/scap-security-guide/2012-May/000567.html">https://lists.fedorahosted.org/pipermail/scap-security-guide/2012-May/000567.html</a>
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>You must have something loaded or enabled that I don't have that allows
<span class="moz-txt-citetags">&gt; </span>sysctl net.ipv6.conf.default.accept_redirect=0 ?
<span class="moz-txt-citetags">&gt; </span>
<span class="moz-txt-citetags">&gt; </span>Thanks,
<span class="moz-txt-citetags">&gt; </span>Rodney.
<span class="moz-txt-citetags">&gt; </span>
</pre>
      </blockquote>
      <pre wrap="">I don't have /proc/sys/net/ipv6 on the hardened RHEL6 machine.

[root@wahoo checks]# ls <i class="moz-txt-slash"><span class="moz-txt-tag">/</span>proc/sys/net<span class="moz-txt-tag">/</span></i>
core  ipv4  netfilter  nf_conntrack_max  unix

I assume that you must have:

# cat /proc/sys/net/ipv6/conf/all/accept_redirects 
1</pre>
    </blockquote>
    <br>
    Or, you know, I could have rebooted after disabling IPv6... =/<br>
    <br>
    Fully able to replicate your setup after a reboot. Pushed your
    bugfix:<br>
<a class="moz-txt-link-freetext" href="https://git.fedorahosted.org/cgit/scap-security-guide.git/commit/?id=6a271a5df50529dc0ee4800dfce0933114c4677b">https://git.fedorahosted.org/cgit/scap-security-guide.git/commit/?id=6a271a5df50529dc0ee4800dfce0933114c4677b</a><br>
    <br>
    Made a slight change to reflect updated signoff date, and removed
    this check from the sysctl templates.<br>
  </body>
</html>