Стопроцентная загрузка одного из ядер процессора непонятным процессом (ogrotate)

Глянь сколько у тебя логи занимают /var/log и прочие, если не сервер ограничь размер, можно и в tmp перенести. Запусти вручную команду из сервиса logrotate и смотри на ошибки

который по крону будет прибивать подобные процессы

Вы хоть разберитесь, что это за процесс — есть у него родитель, время запуска, исполняемый файл (/proc/PID/exe). А то ещё выясниться, что ogrotate — это из лога, а не из вывода команды ″ps″.

Вы два раза написали «ogrotate» если это не опечатка, то у меня для вас плохие новости...

А вообще такое встречается

https://bugzilla.redhat.com/show_bug.cgi?id=1756577

Bug 1756577 - SELinux is preventing (ogrotate) from 'mount' accesses on the Dateisystem /.

Если один человек очепятался, то почему и другой не мог такое же исполнить? Или если один человек словил каку, то почему и другой не мог словить её же? А по начальной диагностике mky выше все правильно написал, добавлять к этому нечего.

Похоже кто то опечатался в файлах политик безопасности и это пошло в релиз :)

lrwxrwxrwx 1 root root 0 мар 19 10:39 /proc/46831/exe -> /usr/lib/systemd/systemd

ps -eo pid,lstart,cmd | grep ogrotate 46831 Sun Mar 17 00:00:10 2024 (ogrotate)

ps -o ppid=46831 46831 96858 96859

ps axfu | grep 96858 user1 96858 0.0 0.1 50128 5880 ? S 10:38 0:00 _ sshd: user1@pts/0

[user1@Terminal ~]$ ps axfu | grep 96859 user1 96859 0.0 0.1 218216 5604 pts/0 Ss 10:38 0:00 _ -bash

Получается, либо systemd теперь сам занимается ротацией логов (не удивлюсь), либо это вообще не ротация логов. Не понятно

А можно поподробнее ? Вирус ?

Да, это похоже на systemd. Он форкается и переименовывает процесс, отмечая его круглыми скобками. Чтобы не было проблем, он ограничивает имя 10 символами (по длине строки /sbin/init). Видимо, где-то в коде ошибка, раз они обрезают первую букву, а не последнюю.

А почему он начинает много жрать проц непонятно. Посмотрите объём логов, вроде-бы /var/log/journal или /run/systemd/journal.

В принципе достаточно много, не не прям критично:

du -hs /var/log/journal/

193M /var/log/journal/

Весь /var/log сколько, а не только журнал, ротация идёт для всех а не только журнала. И для журнала это тоже чересчур

Посмотрите ″systemctl status logrotate.service″. Там будет указано, какой юнит файл используется. Посмотрите, что там в ″ExecStart=″. По идее, там должен быть обычный logrotate, отдельный бинарник, а не systemd. И этот бинарник из ExecStart у вас кто-то убивает, то есть отправляет ему сигнал SIGTERM, ('killed' and its exit status is 15). И у него должен быть файл, обычный текстовый, logrotate.status, в /var/lib/, или /var/lib/misc/ или /var/lib/logrotate. И по содержимому файла можно понять, вобще ротация логов происходит или нет.

Запускаться этот юнит должен по таймеру, как возникнет жрущий процесс, можно посмотреть время его запуска, время сработки таймера ″systemctl list-timers″, и журнал по logrotate.service. Как-то сопоставить время, может это вобще не связаные события.

Ну ещё всегда можно сделать на этот жрущий процесс ″strace -p PID″, и, через какое-то время нажать Ctrl+C, возможно, в терминале будет куча строк. Может там будут какие имена файлов, может по ним какая бага нагуглится...

Спасибо большое за развёрнутый ответ. Выяснил, что это действительно происходит от logrotate:

sudo systemctl status logrotate.service [sudo] пароль для user1: ● logrotate.service - Rotate log files Loaded: loaded (/usr/lib/systemd/system/logrotate.service; static) Active: activating (start) since Sun 2024-03-17 00:00:11 MSK; 1 weeks 3 days ago TriggeredBy: ● logrotate.timer Docs: man:logrotate(8) man:logrotate.conf(5) Main PID: 46831 ((ogrotate)) Tasks: 1 (limit: 4182) Memory: 54.2M CPU: 1w 3d 16h 3min 27.360s CGroup: /system.slice/logrotate.service └─46831 (ogrotate)

Судя по всему, ротации логов не происходит, пока запущен жрущий (ogrotate). В logrotate.status последняя ротация указана 15 марта.

А strace выдаёт огромное количество информации каждую секунду. Честно говоря, мне трудно выделить тут что либо ценное. Вот небольшая часть выдачи, может кому нибудь это что то скажет: read(22, «=4096k,nr_inodes=65536,mode=755,inode64\n212179 429265 0:5 /bus /proc/bus rw,nosuid,noexec shared:8 - devtmpfs devtmpfs rw,size=4096k,nr_inodes=65536,mode=755,inode64\n212178 429264 0:5 /bus /dev/bus rw,nosuid,noexec shared:8 - devtmpfs devtmpfs rw,size=4096k,nr_inodes=65536,mode=755,inode64\n212177 42»…, 1024) = 1024 read(22, «36,mode=755,inode64\n212171 429257 0:5 /bus /proc/bus rw,nosuid,noexec shared:8 - devtmpfs devtmpfs rw,size=4096k,nr_inodes=65536,mode=755,inode64\n212170 429256 0:5 /bus /dev/bus rw,nosuid,noexec shared:8 - devtmpfs devtmpfs rw,size=4096k,nr_inodes=65536,mode=755,inode64\n212169 429255 0:5 /bus /proc/»…, 1024) = 1024 read(22, «212163 429249 0:5 /bus /proc/bus rw,nosuid,noexec shared:8 - devtmpfs devtmpfs rw,size=4096k,nr_inodes=65536,mode=755,inode64\n212162 429248 0:5 /bus /dev/bus rw,nosuid,noexec shared:8 - devtmpfs devtmpfs rw,size=4096k,nr_inodes=65536,mode=755,inode64\n212161 429247 0:5 /bus /proc/bus rw,nosuid,noexec»…, 1024) = 1024 read(22, «us /proc/bus rw,nosuid,noexec shared:8 - devtmpfs devtmpfs rw,size=4096k,nr_inodes=65536,mode=755,inode64\n212154 429240 0:5 /bus /dev/bus rw,nosuid,noexec shared:8 - devtmpfs devtmpfs rw,size=4096k,nr_inodes=65536,mode=755,inode64\n212153 429239 0:5 /bus /proc/bus rw,nosuid,noexec shared:8 - devtmpfs»…, 1024) = 1024