Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 2 subscribers
  • Views 11219 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Read Only user can edit?

JBooks
I was logged in as a READONLY user.  While I was logged in, I forgot that I was logged in as a READONLY user and somehow successfully made changed to a firewall profile under Webserver Protection>>Web Application Firewall>>Firewall Profiles tab.  The changes were recorded in the Management>>Last WebAdmin Sessions list.

The way I have the user set up is fairly simple.

For example:

Management>>Users & Groups

The user is a locally authenticated user named ROUser.

I then added ROUser to a group that I created to hold ReadOnly users named ROGroup.

Management>>WebAdmin Settings>>Access Control tab

I then added ROGroup to the default READONLY role.  Grant read-only access is checked.

As far as I know, I have done everything to make this user ROUser a read-only user, but somehow I was able to make changes.

What I am missing here?


This thread was automatically locked due to age.
  • 0
    Version?

    Confirm the exact change from the database, assumes regular account is admin:
    psql reporting -U reporting -c "SELECT confd_sessions.*, confd_nodes.* FROM confd_sessions INNER JOIN confd_nodes ON confd_sessions.sid = confd_nodes.sid WHERE confd_sessions.facility = 'webadmin' AND confd_sessions.username != 'admin';"


    What do confd.log and confd-debug.log lines show from that time and change?
  • 0
    Version is 9.350-12

    I don't know about the other stuff.  I have not queried the DB by a command line.

    Is my configuration for setting up a readonly user right?  Or do I have it wrong?
  • 0
    There are many places things could be misconfigured and it is possible that a permission check is broken.

    Sharing the results of the DB query may give detail on the exact change that was performed.

    Sharing the log lines may give insight into what permissions were, or were not checked, and more.

    There are also commands that could be used to check the user, group and role settings - the information can be gathered through the GUI too.

    If gathering and sharing the information isn't an option then your support provider may be your best option.
Unfiltered HTML