Branch data     Line data    Source code

       1                 :            : /* SPDX-License-Identifier: GPL-2.0-only */
       2                 :            : /*
       3                 :            :  * AppArmor security module
       4                 :            :  *
       5                 :            :  * This file contains AppArmor file mediation function definitions.
       6                 :            :  *
       7                 :            :  * Copyright (C) 1998-2008 Novell/SUSE
       8                 :            :  * Copyright 2009-2010 Canonical Ltd.
       9                 :            :  */
      10                 :            : 
      11                 :            : #ifndef __AA_FILE_H
      12                 :            : #define __AA_FILE_H
      13                 :            : 
      14                 :            : #include <linux/spinlock.h>
      15                 :            : 
      16                 :            : #include "domain.h"
      17                 :            : #include "match.h"
      18                 :            : #include "perms.h"
      19                 :            : 
      20                 :            : struct aa_profile;
      21                 :            : struct path;
      22                 :            : 
      23                 :            : #define mask_mode_t(X) (X & (MAY_EXEC | MAY_WRITE | MAY_READ | MAY_APPEND))
      24                 :            : 
      25                 :            : #define AA_AUDIT_FILE_MASK      (MAY_READ | MAY_WRITE | MAY_EXEC | MAY_APPEND |\
      26                 :            :                                  AA_MAY_CREATE | AA_MAY_DELETE |        \
      27                 :            :                                  AA_MAY_GETATTR | AA_MAY_SETATTR | \
      28                 :            :                                  AA_MAY_CHMOD | AA_MAY_CHOWN | AA_MAY_LOCK | \
      29                 :            :                                  AA_EXEC_MMAP | AA_MAY_LINK)
      30                 :            : 
      31                 :            : static inline struct aa_file_ctx *file_ctx(struct file *file)
      32                 :            : {
      33                 :          0 :         return file->f_security + apparmor_blob_sizes.lbs_file;
      34                 :            : }
      35                 :            : 
      36                 :            : /* struct aa_file_ctx - the AppArmor context the file was opened in
      37                 :            :  * @lock: lock to update the ctx
      38                 :            :  * @label: label currently cached on the ctx
      39                 :            :  * @perms: the permission the file was opened with
      40                 :            :  */
      41                 :            : struct aa_file_ctx {
      42                 :            :         spinlock_t lock;
      43                 :            :         struct aa_label __rcu *label;
      44                 :            :         u32 allow;
      45                 :            : };
      46                 :            : 
      47                 :            : /**
      48                 :            :  * aa_alloc_file_ctx - allocate file_ctx
      49                 :            :  * @label: initial label of task creating the file
      50                 :            :  * @gfp: gfp flags for allocation
      51                 :            :  *
      52                 :            :  * Returns: file_ctx or NULL on failure
      53                 :            :  */
      54                 :            : static inline struct aa_file_ctx *aa_alloc_file_ctx(struct aa_label *label,
      55                 :            :                                                     gfp_t gfp)
      56                 :            : {
      57                 :            :         struct aa_file_ctx *ctx;
      58                 :            : 
      59                 :            :         ctx = kzalloc(sizeof(struct aa_file_ctx), gfp);
      60                 :            :         if (ctx) {
      61                 :            :                 spin_lock_init(&ctx->lock);
      62                 :            :                 rcu_assign_pointer(ctx->label, aa_get_label(label));
      63                 :            :         }
      64                 :            :         return ctx;
      65                 :            : }
      66                 :            : 
      67                 :            : /**
      68                 :            :  * aa_free_file_ctx - free a file_ctx
      69                 :            :  * @ctx: file_ctx to free  (MAYBE_NULL)
      70                 :            :  */
      71                 :            : static inline void aa_free_file_ctx(struct aa_file_ctx *ctx)
      72                 :            : {
      73                 :            :         if (ctx) {
      74                 :            :                 aa_put_label(rcu_access_pointer(ctx->label));
      75                 :            :                 kzfree(ctx);
      76                 :            :         }
      77                 :            : }
      78                 :            : 
      79                 :            : static inline struct aa_label *aa_get_file_label(struct aa_file_ctx *ctx)
      80                 :            : {
      81                 :            :         return aa_get_label_rcu(&ctx->label);
      82                 :            : }
      83                 :            : 
      84                 :            : /*
      85                 :            :  * The xindex is broken into 3 parts
      86                 :            :  * - index - an index into either the exec name table or the variable table
      87                 :            :  * - exec type - which determines how the executable name and index are used
      88                 :            :  * - flags - which modify how the destination name is applied
      89                 :            :  */
      90                 :            : #define AA_X_INDEX_MASK         0x03ff
      91                 :            : 
      92                 :            : #define AA_X_TYPE_MASK          0x0c00
      93                 :            : #define AA_X_TYPE_SHIFT         10
      94                 :            : #define AA_X_NONE               0x0000
      95                 :            : #define AA_X_NAME               0x0400  /* use executable name px */
      96                 :            : #define AA_X_TABLE              0x0800  /* use a specified name ->n# */
      97                 :            : 
      98                 :            : #define AA_X_UNSAFE             0x1000
      99                 :            : #define AA_X_CHILD              0x2000  /* make >AA_X_NONE apply to children */
     100                 :            : #define AA_X_INHERIT            0x4000
     101                 :            : #define AA_X_UNCONFINED         0x8000
     102                 :            : 
     103                 :            : /* need to make conditional which ones are being set */
     104                 :            : struct path_cond {
     105                 :            :         kuid_t uid;
     106                 :            :         umode_t mode;
     107                 :            : };
     108                 :            : 
     109                 :            : #define COMBINED_PERM_MASK(X) ((X).allow | (X).audit | (X).quiet | (X).kill)
     110                 :            : 
     111                 :            : /* FIXME: split perms from dfa and match this to description
     112                 :            :  *        also add delegation info.
     113                 :            :  */
     114                 :          0 : static inline u16 dfa_map_xindex(u16 mask)
     115                 :            : {
     116                 :          0 :         u16 old_index = (mask >> 10) & 0xf;
     117                 :            :         u16 index = 0;
     118                 :            : 
     119                 :          0 :         if (mask & 0x100)
     120                 :            :                 index |= AA_X_UNSAFE;
     121                 :          0 :         if (mask & 0x200)
     122                 :          0 :                 index |= AA_X_INHERIT;
     123                 :          0 :         if (mask & 0x80)
     124                 :          0 :                 index |= AA_X_UNCONFINED;
     125                 :            : 
     126                 :          0 :         if (old_index == 1) {
     127                 :          0 :                 index |= AA_X_UNCONFINED;
     128                 :          0 :         } else if (old_index == 2) {
     129                 :          0 :                 index |= AA_X_NAME;
     130                 :          0 :         } else if (old_index == 3) {
     131                 :          0 :                 index |= AA_X_NAME | AA_X_CHILD;
     132                 :          0 :         } else if (old_index) {
     133                 :          0 :                 index |= AA_X_TABLE;
     134                 :          0 :                 index |= old_index - 4;
     135                 :            :         }
     136                 :            : 
     137                 :          0 :         return index;
     138                 :            : }
     139                 :            : 
     140                 :            : /*
     141                 :            :  * map old dfa inline permissions to new format
     142                 :            :  */
     143                 :            : #define dfa_user_allow(dfa, state) (((ACCEPT_TABLE(dfa)[state]) & 0x7f) | \
     144                 :            :                                     ((ACCEPT_TABLE(dfa)[state]) & 0x80000000))
     145                 :            : #define dfa_user_audit(dfa, state) ((ACCEPT_TABLE2(dfa)[state]) & 0x7f)
     146                 :            : #define dfa_user_quiet(dfa, state) (((ACCEPT_TABLE2(dfa)[state]) >> 7) & 0x7f)
     147                 :            : #define dfa_user_xindex(dfa, state) \
     148                 :            :         (dfa_map_xindex(ACCEPT_TABLE(dfa)[state] & 0x3fff))
     149                 :            : 
     150                 :            : #define dfa_other_allow(dfa, state) ((((ACCEPT_TABLE(dfa)[state]) >> 14) & \
     151                 :            :                                       0x7f) |                           \
     152                 :            :                                      ((ACCEPT_TABLE(dfa)[state]) & 0x80000000))
     153                 :            : #define dfa_other_audit(dfa, state) (((ACCEPT_TABLE2(dfa)[state]) >> 14) & 0x7f)
     154                 :            : #define dfa_other_quiet(dfa, state) \
     155                 :            :         ((((ACCEPT_TABLE2(dfa)[state]) >> 7) >> 14) & 0x7f)
     156                 :            : #define dfa_other_xindex(dfa, state) \
     157                 :            :         dfa_map_xindex((ACCEPT_TABLE(dfa)[state] >> 14) & 0x3fff)
     158                 :            : 
     159                 :            : int aa_audit_file(struct aa_profile *profile, struct aa_perms *perms,
     160                 :            :                   const char *op, u32 request, const char *name,
     161                 :            :                   const char *target, struct aa_label *tlabel, kuid_t ouid,
     162                 :            :                   const char *info, int error);
     163                 :            : 
     164                 :            : /**
     165                 :            :  * struct aa_file_rules - components used for file rule permissions
     166                 :            :  * @dfa: dfa to match path names and conditionals against
     167                 :            :  * @perms: permission table indexed by the matched state accept entry of @dfa
     168                 :            :  * @trans: transition table for indexed by named x transitions
     169                 :            :  *
     170                 :            :  * File permission are determined by matching a path against @dfa and then
     171                 :            :  * then using the value of the accept entry for the matching state as
     172                 :            :  * an index into @perms.  If a named exec transition is required it is
     173                 :            :  * looked up in the transition table.
     174                 :            :  */
     175                 :            : struct aa_file_rules {
     176                 :            :         unsigned int start;
     177                 :            :         struct aa_dfa *dfa;
     178                 :            :         /* struct perms perms; */
     179                 :            :         struct aa_domain trans;
     180                 :            :         /* TODO: add delegate table */
     181                 :            : };
     182                 :            : 
     183                 :            : struct aa_perms aa_compute_fperms(struct aa_dfa *dfa, unsigned int state,
     184                 :            :                                     struct path_cond *cond);
     185                 :            : unsigned int aa_str_perms(struct aa_dfa *dfa, unsigned int start,
     186                 :            :                           const char *name, struct path_cond *cond,
     187                 :            :                           struct aa_perms *perms);
     188                 :            : 
     189                 :            : int __aa_path_perm(const char *op, struct aa_profile *profile,
     190                 :            :                    const char *name, u32 request, struct path_cond *cond,
     191                 :            :                    int flags, struct aa_perms *perms);
     192                 :            : int aa_path_perm(const char *op, struct aa_label *label,
     193                 :            :                  const struct path *path, int flags, u32 request,
     194                 :            :                  struct path_cond *cond);
     195                 :            : 
     196                 :            : int aa_path_link(struct aa_label *label, struct dentry *old_dentry,
     197                 :            :                  const struct path *new_dir, struct dentry *new_dentry);
     198                 :            : 
     199                 :            : int aa_file_perm(const char *op, struct aa_label *label, struct file *file,
     200                 :            :                  u32 request);
     201                 :            : 
     202                 :            : void aa_inherit_files(const struct cred *cred, struct files_struct *files);
     203                 :            : 
     204                 :          0 : static inline void aa_free_file_rules(struct aa_file_rules *rules)
     205                 :            : {
     206                 :          0 :         aa_put_dfa(rules->dfa);
     207                 :          0 :         aa_free_domain_entries(&rules->trans);
     208                 :          0 : }
     209                 :            : 
     210                 :            : /**
     211                 :            :  * aa_map_file_perms - map file flags to AppArmor permissions
     212                 :            :  * @file: open file to map flags to AppArmor permissions
     213                 :            :  *
     214                 :            :  * Returns: apparmor permission set for the file
     215                 :            :  */
     216                 :          0 : static inline u32 aa_map_file_to_perms(struct file *file)
     217                 :            : {
     218                 :          0 :         int flags = file->f_flags;
     219                 :            :         u32 perms = 0;
     220                 :            : 
     221                 :          0 :         if (file->f_mode & FMODE_WRITE)
     222                 :            :                 perms |= MAY_WRITE;
     223                 :          0 :         if (file->f_mode & FMODE_READ)
     224                 :          0 :                 perms |= MAY_READ;
     225                 :            : 
     226                 :          0 :         if ((flags & O_APPEND) && (perms & MAY_WRITE))
     227                 :          0 :                 perms = (perms & ~MAY_WRITE) | MAY_APPEND;
     228                 :            :         /* trunc implies write permission */
     229                 :          0 :         if (flags & O_TRUNC)
     230                 :          0 :                 perms |= MAY_WRITE;
     231                 :          0 :         if (flags & O_CREAT)
     232                 :          0 :                 perms |= AA_MAY_CREATE;
     233                 :            : 
     234                 :          0 :         return perms;
     235                 :            : }
     236                 :            : 
     237                 :            : #endif /* __AA_FILE_H */