security/commoncap.c

   1 /* Common capabilities, needed by capability.o.
   2  *
   3  *      This program is free software; you can redistribute it and/or modify
   4  *      it under the terms of the GNU General Public License as published by
   5  *      the Free Software Foundation; either version 2 of the License, or
   6  *      (at your option) any later version.
   7  *
   8  */
   9
  10 #include <linux/capability.h>
  11 #include <linux/audit.h>
  12 #include <linux/module.h>
  13 #include <linux/init.h>
  14 #include <linux/kernel.h>
  15 #include <linux/security.h>
  16 #include <linux/file.h>
  17 #include <linux/mm.h>
  18 #include <linux/mman.h>
  19 #include <linux/pagemap.h>
  20 #include <linux/swap.h>
  21 #include <linux/skbuff.h>
  22 #include <linux/netlink.h>
  23 #include <linux/ptrace.h>
  24 #include <linux/xattr.h>
  25 #include <linux/hugetlb.h>
  26 #include <linux/mount.h>
  27 #include <linux/sched.h>
  28 #include <linux/prctl.h>
  29 #include <linux/securebits.h>
  30 #include <linux/user_namespace.h>
  31 #include <linux/binfmts.h>
  32 #include <linux/personality.h>
  33
  34 #ifdef CONFIG_ANDROID_PARANOID_NETWORK
  35 #include <linux/android_aid.h>
  36 #endif
  37
  38 /*
  39  * If a non-root user executes a setuid-root binary in
  40  * !secure(SECURE_NOROOT) mode, then we raise capabilities.
  41  * However if fE is also set, then the intent is for only
  42  * the file capabilities to be applied, and the setuid-root
  43  * bit is left on either to change the uid (plausible) or
  44  * to get full privilege on a kernel without file capabilities
  45  * support.  So in that case we do not raise capabilities.
  46  *
  47  * Warn if that happens, once per boot.
  48  */
  49 static void warn_setuid_and_fcaps_mixed(const char *fname)
  50 {
  51         static int warned;
  52         if (!warned) {
  53                 printk(KERN_INFO "warning: `%s' has both setuid-root and"
  54                         " effective capabilities. Therefore not raising all"
  55                         " capabilities.\n", fname);
  56                 warned = 1;
  57         }
  58 }
  59
  60 int cap_netlink_send(struct sock *sk, struct sk_buff *skb)
  61 {
  62         return 0;
  63 }
  64
  65 /**
  66  * cap_capable - Determine whether a task has a particular effective capability
  67  * @cred: The credentials to use
  68  * @ns:  The user namespace in which we need the capability
  69  * @cap: The capability to check for
  70  * @audit: Whether to write an audit message or not
  71  *
  72  * Determine whether the nominated task has the specified capability amongst
  73  * its effective set, returning 0 if it does, -ve if it does not.
  74  *
  75  * NOTE WELL: cap_has_capability() cannot be used like the kernel's capable()
  76  * and has_capability() functions.  That is, it has the reverse semantics:
  77  * cap_has_capability() returns 0 when a task has a capability, but the
  78  * kernel's capable() and has_capability() returns 1 for this case.
  79  */
  80 int cap_capable(const struct cred *cred, struct user_namespace *targ_ns,
  81                 int cap, int audit)
  82 {
  83         struct user_namespace *ns = targ_ns;
  84
  85 #ifdef CONFIG_ANDROID_PARANOID_NETWORK
  86         if (cap == CAP_NET_RAW && in_egroup_p(AID_NET_RAW))
  87                 return 0;
  88         if (cap == CAP_NET_ADMIN && in_egroup_p(AID_NET_ADMIN))
  89                 return 0;
  90 #endif
  91
  92         /* See if cred has the capability in the target user namespace
  93          * by examining the target user namespace and all of the target
  94          * user namespace's parents.
  95          */
  96         for (;;) {
  97                 /* Do we have the necessary capabilities? */
  98                 if (ns == cred->user_ns)
  99                         return cap_raised(cred->cap_effective, cap) ? 0 : -EPERM;
 100
 101                 /* Have we tried all of the parent namespaces? */
 102                 if (ns == &init_user_ns)
 103                         return -EPERM;
 104
 105                 /*
 106                  * The owner of the user namespace in the parent of the
 107                  * user namespace has all caps.
 108                  */
 109                 if ((ns->parent == cred->user_ns) && uid_eq(ns->owner, cred->euid))
 110                         return 0;
 111
 112                 /*
 113                  * If you have a capability in a parent user ns, then you have
 114                  * it over all children user namespaces as well.
 115                  */
 116                 ns = ns->parent;
 117         }
 118
 119         /* We never get here */
 120 }
 121
 122 /**
 123  * cap_settime - Determine whether the current process may set the system clock
 124  * @ts: The time to set
 125  * @tz: The timezone to set
 126  *
 127  * Determine whether the current process may set the system clock and timezone
 128  * information, returning 0 if permission granted, -ve if denied.
 129  */
 130 int cap_settime(const struct timespec *ts, const struct timezone *tz)
 131 {
 132         if (!capable(CAP_SYS_TIME))
 133                 return -EPERM;
 134         return 0;
 135 }
 136
 137 /**
 138  * cap_ptrace_access_check - Determine whether the current process may access
 139  *                         another
 140  * @child: The process to be accessed
 141  * @mode: The mode of attachment.
 142  *
 143  * If we are in the same or an ancestor user_ns and have all the target
 144  * task's capabilities, then ptrace access is allowed.
 145  * If we have the ptrace capability to the target user_ns, then ptrace
 146  * access is allowed.
 147  * Else denied.
 148  *
 149  * Determine whether a process may access another, returning 0 if permission
 150  * granted, -ve if denied.
 151  */
 152 int cap_ptrace_access_check(struct task_struct *child, unsigned int mode)
 153 {
 154         int ret = 0;
 155         const struct cred *cred, *child_cred;
 156
 157         rcu_read_lock();
 158         cred = current_cred();
 159         child_cred = __task_cred(child);
 160         if (cred->user_ns == child_cred->user_ns &&
 161             cap_issubset(child_cred->cap_permitted, cred->cap_permitted))
 162                 goto out;
 163         if (ns_capable(child_cred->user_ns, CAP_SYS_PTRACE))
 164                 goto out;
 165         ret = -EPERM;
 166 out:
 167         rcu_read_unlock();
 168         return ret;
 169 }
 170
 171 /**
 172  * cap_ptrace_traceme - Determine whether another process may trace the current
 173  * @parent: The task proposed to be the tracer
 174  *
 175  * If parent is in the same or an ancestor user_ns and has all current's
 176  * capabilities, then ptrace access is allowed.
 177  * If parent has the ptrace capability to current's user_ns, then ptrace
 178  * access is allowed.
 179  * Else denied.
 180  *
 181  * Determine whether the nominated task is permitted to trace the current
 182  * process, returning 0 if permission is granted, -ve if denied.
 183  */
 184 int cap_ptrace_traceme(struct task_struct *parent)
 185 {
 186         int ret = 0;
 187         const struct cred *cred, *child_cred;
 188
 189         rcu_read_lock();
 190         cred = __task_cred(parent);
 191         child_cred = current_cred();
 192         if (cred->user_ns == child_cred->user_ns &&
 193             cap_issubset(child_cred->cap_permitted, cred->cap_permitted))
 194                 goto out;
 195         if (has_ns_capability(parent, child_cred->user_ns, CAP_SYS_PTRACE))
 196                 goto out;
 197         ret = -EPERM;
 198 out:
 199         rcu_read_unlock();
 200         return ret;
 201 }
 202
 203 /**
 204  * cap_capget - Retrieve a task's capability sets
 205  * @target: The task from which to retrieve the capability sets
 206  * @effective: The place to record the effective set
 207  * @inheritable: The place to record the inheritable set
 208  * @permitted: The place to record the permitted set
 209  *
 210  * This function retrieves the capabilities of the nominated task and returns
 211  * them to the caller.
 212  */
 213 int cap_capget(struct task_struct *target, kernel_cap_t *effective,
 214                kernel_cap_t *inheritable, kernel_cap_t *permitted)
 215 {
 216         const struct cred *cred;
 217
 218         /* Derived from kernel/capability.c:sys_capget. */
 219         rcu_read_lock();
 220         cred = __task_cred(target);
 221         *effective   = cred->cap_effective;
 222         *inheritable = cred->cap_inheritable;
 223         *permitted   = cred->cap_permitted;
 224         rcu_read_unlock();
 225         return 0;
 226 }
 227
 228 /*
 229  * Determine whether the inheritable capabilities are limited to the old
 230  * permitted set.  Returns 1 if they are limited, 0 if they are not.
 231  */
 232 static inline int cap_inh_is_capped(void)
 233 {
 234
 235         /* they are so limited unless the current task has the CAP_SETPCAP
 236          * capability
 237          */
 238         if (cap_capable(current_cred(), current_cred()->user_ns,
 239                         CAP_SETPCAP, SECURITY_CAP_AUDIT) == 0)
 240                 return 0;
 241         return 1;
 242 }
 243
 244 /**
 245  * cap_capset - Validate and apply proposed changes to current's capabilities
 246  * @new: The proposed new credentials; alterations should be made here
 247  * @old: The current task's current credentials
 248  * @effective: A pointer to the proposed new effective capabilities set
 249  * @inheritable: A pointer to the proposed new inheritable capabilities set
 250  * @permitted: A pointer to the proposed new permitted capabilities set
 251  *
 252  * This function validates and applies a proposed mass change to the current
 253  * process's capability sets.  The changes are made to the proposed new
 254  * credentials, and assuming no error, will be committed by the caller of LSM.
 255  */
 256 int cap_capset(struct cred *new,
 257                const struct cred *old,
 258                const kernel_cap_t *effective,
 259                const kernel_cap_t *inheritable,
 260                const kernel_cap_t *permitted)
 261 {
 262         if (cap_inh_is_capped() &&
 263             !cap_issubset(*inheritable,
 264                           cap_combine(old->cap_inheritable,
 265                                       old->cap_permitted)))
 266                 /* incapable of using this inheritable set */
 267                 return -EPERM;
 268
 269         if (!cap_issubset(*inheritable,
 270                           cap_combine(old->cap_inheritable,
 271                                       old->cap_bset)))
 272                 /* no new pI capabilities outside bounding set */
 273                 return -EPERM;
 274
 275         /* verify restrictions on target's new Permitted set */
 276         if (!cap_issubset(*permitted, old->cap_permitted))
 277                 return -EPERM;
 278
 279         /* verify the _new_Effective_ is a subset of the _new_Permitted_ */
 280         if (!cap_issubset(*effective, *permitted))
 281                 return -EPERM;
 282
 283         new->cap_effective   = *effective;
 284         new->cap_inheritable = *inheritable;
 285         new->cap_permitted   = *permitted;
 286         return 0;
 287 }
 288
 289 /*
 290  * Clear proposed capability sets for execve().
 291  */
 292 static inline void bprm_clear_caps(struct linux_binprm *bprm)
 293 {
 294         cap_clear(bprm->cred->cap_permitted);
 295         bprm->cap_effective = false;
 296 }
 297
 298 /**
 299  * cap_inode_need_killpriv - Determine if inode change affects privileges
 300  * @dentry: The inode/dentry in being changed with change marked ATTR_KILL_PRIV
 301  *
 302  * Determine if an inode having a change applied that's marked ATTR_KILL_PRIV
 303  * affects the security markings on that inode, and if it is, should
 304  * inode_killpriv() be invoked or the change rejected?
 305  *
 306  * Returns 0 if granted; +ve if granted, but inode_killpriv() is required; and
 307  * -ve to deny the change.
 308  */
 309 int cap_inode_need_killpriv(struct dentry *dentry)
 310 {
 311         struct inode *inode = dentry->d_inode;
 312         int error;
 313
 314         if (!inode->i_op->getxattr)
 315                return 0;
 316
 317         error = inode->i_op->getxattr(dentry, XATTR_NAME_CAPS, NULL, 0);
 318         if (error <= 0)
 319                 return 0;
 320         return 1;
 321 }
 322
 323 /**
 324  * cap_inode_killpriv - Erase the security markings on an inode
 325  * @dentry: The inode/dentry to alter
 326  *
 327  * Erase the privilege-enhancing security markings on an inode.
 328  *
 329  * Returns 0 if successful, -ve on error.
 330  */
 331 int cap_inode_killpriv(struct dentry *dentry)
 332 {
 333         struct inode *inode = dentry->d_inode;
 334
 335         if (!inode->i_op->removexattr)
 336                return 0;
 337
 338         return inode->i_op->removexattr(dentry, XATTR_NAME_CAPS);
 339 }
 340
 341 /*
 342  * Calculate the new process capability sets from the capability sets attached
 343  * to a file.
 344  */
 345 static inline int bprm_caps_from_vfs_caps(struct cpu_vfs_cap_data *caps,
 346                                           struct linux_binprm *bprm,
 347                                           bool *effective,
 348                                           bool *has_cap)
 349 {
 350         struct cred *new = bprm->cred;
 351         unsigned i;
 352         int ret = 0;
 353
 354         if (caps->magic_etc & VFS_CAP_FLAGS_EFFECTIVE)
 355                 *effective = true;
 356
 357         if (caps->magic_etc & VFS_CAP_REVISION_MASK)
 358                 *has_cap = true;
 359
 360         CAP_FOR_EACH_U32(i) {
 361                 __u32 permitted = caps->permitted.cap[i];
 362                 __u32 inheritable = caps->inheritable.cap[i];
 363
 364                 /*
 365                  * pP' = (X & fP) | (pI & fI)
 366                  */
 367                 new->cap_permitted.cap[i] =
 368                         (new->cap_bset.cap[i] & permitted) |
 369                         (new->cap_inheritable.cap[i] & inheritable);
 370
 371                 if (permitted & ~new->cap_permitted.cap[i])
 372                         /* insufficient to execute correctly */
 373                         ret = -EPERM;
 374         }
 375
 376         /*
 377          * For legacy apps, with no internal support for recognizing they
 378          * do not have enough capabilities, we return an error if they are
 379          * missing some "forced" (aka file-permitted) capabilities.
 380          */
 381         return *effective ? ret : 0;
 382 }
 383
 384 /*
 385  * Extract the on-exec-apply capability sets for an executable file.
 386  */
 387 int get_vfs_caps_from_disk(const struct dentry *dentry, struct cpu_vfs_cap_data *cpu_caps)
 388 {
 389         struct inode *inode = dentry->d_inode;
 390         __u32 magic_etc;
 391         unsigned tocopy, i;
 392         int size;
 393         struct vfs_cap_data caps;
 394
 395         memset(cpu_caps, 0, sizeof(struct cpu_vfs_cap_data));
 396
 397         if (!inode || !inode->i_op->getxattr)
 398                 return -ENODATA;
 399
 400         size = inode->i_op->getxattr((struct dentry *)dentry, XATTR_NAME_CAPS, &caps,
 401                                    XATTR_CAPS_SZ);
 402         if (size == -ENODATA || size == -EOPNOTSUPP)
 403                 /* no data, that's ok */
 404                 return -ENODATA;
 405         if (size < 0)
 406                 return size;
 407
 408         if (size < sizeof(magic_etc))
 409                 return -EINVAL;
 410
 411         cpu_caps->magic_etc = magic_etc = le32_to_cpu(caps.magic_etc);
 412
 413         switch (magic_etc & VFS_CAP_REVISION_MASK) {
 414         case VFS_CAP_REVISION_1:
 415                 if (size != XATTR_CAPS_SZ_1)
 416                         return -EINVAL;
 417                 tocopy = VFS_CAP_U32_1;
 418                 break;
 419         case VFS_CAP_REVISION_2:
 420                 if (size != XATTR_CAPS_SZ_2)
 421                         return -EINVAL;
 422                 tocopy = VFS_CAP_U32_2;
 423                 break;
 424         default:
 425                 return -EINVAL;
 426         }
 427
 428         CAP_FOR_EACH_U32(i) {
 429                 if (i >= tocopy)
 430                         break;
 431                 cpu_caps->permitted.cap[i] = le32_to_cpu(caps.data[i].permitted);
 432                 cpu_caps->inheritable.cap[i] = le32_to_cpu(caps.data[i].inheritable);
 433         }
 434
 435         cpu_caps->permitted.cap[CAP_LAST_U32] &= CAP_LAST_U32_VALID_MASK;
 436         cpu_caps->inheritable.cap[CAP_LAST_U32] &= CAP_LAST_U32_VALID_MASK;
 437
 438         return 0;
 439 }
 440
 441 /*
 442  * Attempt to get the on-exec apply capability sets for an executable file from
 443  * its xattrs and, if present, apply them to the proposed credentials being
 444  * constructed by execve().
 445  */
 446 static int get_file_caps(struct linux_binprm *bprm, bool *effective, bool *has_cap)
 447 {
 448         struct dentry *dentry;
 449         int rc = 0;
 450         struct cpu_vfs_cap_data vcaps;
 451
 452         bprm_clear_caps(bprm);
 453
 454         if (!file_caps_enabled)
 455                 return 0;
 456
 457         if (bprm->file->f_path.mnt->mnt_flags & MNT_NOSUID)
 458                 return 0;
 459
 460         dentry = dget(bprm->file->f_dentry);
 461
 462         rc = get_vfs_caps_from_disk(dentry, &vcaps);
 463         if (rc < 0) {
 464                 if (rc == -EINVAL)
 465                         printk(KERN_NOTICE "%s: get_vfs_caps_from_disk returned %d for %s\n",
 466                                 __func__, rc, bprm->filename);
 467                 else if (rc == -ENODATA)
 468                         rc = 0;
 469                 goto out;
 470         }
 471
 472         rc = bprm_caps_from_vfs_caps(&vcaps, bprm, effective, has_cap);
 473         if (rc == -EINVAL)
 474                 printk(KERN_NOTICE "%s: cap_from_disk returned %d for %s\n",
 475                        __func__, rc, bprm->filename);
 476
 477 out:
 478         dput(dentry);
 479         if (rc)
 480                 bprm_clear_caps(bprm);
 481
 482         return rc;
 483 }
 484
 485 /**
 486  * cap_bprm_set_creds - Set up the proposed credentials for execve().
 487  * @bprm: The execution parameters, including the proposed creds
 488  *
 489  * Set up the proposed credentials for a new execution context being
 490  * constructed by execve().  The proposed creds in @bprm->cred is altered,
 491  * which won't take effect immediately.  Returns 0 if successful, -ve on error.
 492  */
 493 int cap_bprm_set_creds(struct linux_binprm *bprm)
 494 {
 495         const struct cred *old = current_cred();
 496         struct cred *new = bprm->cred;
 497         bool effective, has_cap = false;
 498         int ret;
 499         kuid_t root_uid;
 500
 501         effective = false;
 502         ret = get_file_caps(bprm, &effective, &has_cap);
 503         if (ret < 0)
 504                 return ret;
 505
 506         root_uid = make_kuid(new->user_ns, 0);
 507
 508         if (!issecure(SECURE_NOROOT)) {
 509                 /*
 510                  * If the legacy file capability is set, then don't set privs
 511                  * for a setuid root binary run by a non-root user.  Do set it
 512                  * for a root user just to cause least surprise to an admin.
 513                  */
 514                 if (has_cap && !uid_eq(new->uid, root_uid) && uid_eq(new->euid, root_uid)) {
 515                         warn_setuid_and_fcaps_mixed(bprm->filename);
 516                         goto skip;
 517                 }
 518                 /*
 519                  * To support inheritance of root-permissions and suid-root
 520                  * executables under compatibility mode, we override the
 521                  * capability sets for the file.
 522                  *
 523                  * If only the real uid is 0, we do not set the effective bit.
 524                  */
 525                 if (uid_eq(new->euid, root_uid) || uid_eq(new->uid, root_uid)) {
 526                         /* pP' = (cap_bset & ~0) | (pI & ~0) */
 527                         new->cap_permitted = cap_combine(old->cap_bset,
 528                                                          old->cap_inheritable);
 529                 }
 530                 if (uid_eq(new->euid, root_uid))
 531                         effective = true;
 532         }
 533 skip:
 534
 535         /* if we have fs caps, clear dangerous personality flags */
 536         if (!cap_issubset(new->cap_permitted, old->cap_permitted))
 537                 bprm->per_clear |= PER_CLEAR_ON_SETID;
 538
 539
 540         /* Don't let someone trace a set[ug]id/setpcap binary with the revised
 541          * credentials unless they have the appropriate permit.
 542          *
 543          * In addition, if NO_NEW_PRIVS, then ensure we get no new privs.
 544          */
 545         if ((!uid_eq(new->euid, old->uid) ||
 546              !gid_eq(new->egid, old->gid) ||
 547              !cap_issubset(new->cap_permitted, old->cap_permitted)) &&
 548             bprm->unsafe & ~LSM_UNSAFE_PTRACE_CAP) {
 549                 /* downgrade; they get no more than they had, and maybe less */
 550                 if (!capable(CAP_SETUID) ||
 551                     (bprm->unsafe & LSM_UNSAFE_NO_NEW_PRIVS)) {
 552                         new->euid = new->uid;
 553                         new->egid = new->gid;
 554                 }
 555                 new->cap_permitted = cap_intersect(new->cap_permitted,
 556                                                    old->cap_permitted);
 557         }
 558
 559         new->suid = new->fsuid = new->euid;
 560         new->sgid = new->fsgid = new->egid;
 561
 562         if (effective)
 563                 new->cap_effective = new->cap_permitted;
 564         else
 565                 cap_clear(new->cap_effective);
 566         bprm->cap_effective = effective;
 567
 568         /*
 569          * Audit candidate if current->cap_effective is set
 570          *
 571          * We do not bother to audit if 3 things are true:
 572          *   1) cap_effective has all caps
 573          *   2) we are root
 574          *   3) root is supposed to have all caps (SECURE_NOROOT)
 575          * Since this is just a normal root execing a process.
 576          *
 577          * Number 1 above might fail if you don't have a full bset, but I think
 578          * that is interesting information to audit.
 579          */
 580         if (!cap_isclear(new->cap_effective)) {
 581                 if (!cap_issubset(CAP_FULL_SET, new->cap_effective) ||
 582                     !uid_eq(new->euid, root_uid) || !uid_eq(new->uid, root_uid) ||
 583                     issecure(SECURE_NOROOT)) {
 584                         ret = audit_log_bprm_fcaps(bprm, new, old);
 585                         if (ret < 0)
 586                                 return ret;
 587                 }
 588         }
 589
 590         new->securebits &= ~issecure_mask(SECURE_KEEP_CAPS);
 591         return 0;
 592 }
 593
 594 /**
 595  * cap_bprm_secureexec - Determine whether a secure execution is required
 596  * @bprm: The execution parameters
 597  *
 598  * Determine whether a secure execution is required, return 1 if it is, and 0
 599  * if it is not.
 600  *
 601  * The credentials have been committed by this point, and so are no longer
 602  * available through @bprm->cred.
 603  */
 604 int cap_bprm_secureexec(struct linux_binprm *bprm)
 605 {
 606         const struct cred *cred = current_cred();
 607         kuid_t root_uid = make_kuid(cred->user_ns, 0);
 608
 609         if (!uid_eq(cred->uid, root_uid)) {
 610                 if (bprm->cap_effective)
 611                         return 1;
 612                 if (!cap_isclear(cred->cap_permitted))
 613                         return 1;
 614         }
 615
 616         return (!uid_eq(cred->euid, cred->uid) ||
 617                 !gid_eq(cred->egid, cred->gid));
 618 }
 619
 620 /**
 621  * cap_inode_setxattr - Determine whether an xattr may be altered
 622  * @dentry: The inode/dentry being altered
 623  * @name: The name of the xattr to be changed
 624  * @value: The value that the xattr will be changed to
 625  * @size: The size of value
 626  * @flags: The replacement flag
 627  *
 628  * Determine whether an xattr may be altered or set on an inode, returning 0 if
 629  * permission is granted, -ve if denied.
 630  *
 631  * This is used to make sure security xattrs don't get updated or set by those
 632  * who aren't privileged to do so.
 633  */
 634 int cap_inode_setxattr(struct dentry *dentry, const char *name,
 635                        const void *value, size_t size, int flags)
 636 {
 637         if (!strcmp(name, XATTR_NAME_CAPS)) {
 638                 if (!capable(CAP_SETFCAP))
 639                         return -EPERM;
 640                 return 0;
 641         }
 642
 643         if (!strncmp(name, XATTR_SECURITY_PREFIX,
 644                      sizeof(XATTR_SECURITY_PREFIX) - 1) &&
 645             !capable(CAP_SYS_ADMIN))
 646                 return -EPERM;
 647         return 0;
 648 }
 649
 650 /**
 651  * cap_inode_removexattr - Determine whether an xattr may be removed
 652  * @dentry: The inode/dentry being altered
 653  * @name: The name of the xattr to be changed
 654  *
 655  * Determine whether an xattr may be removed from an inode, returning 0 if
 656  * permission is granted, -ve if denied.
 657  *
 658  * This is used to make sure security xattrs don't get removed by those who
 659  * aren't privileged to remove them.
 660  */
 661 int cap_inode_removexattr(struct dentry *dentry, const char *name)
 662 {
 663         if (!strcmp(name, XATTR_NAME_CAPS)) {
 664                 if (!capable(CAP_SETFCAP))
 665                         return -EPERM;
 666                 return 0;
 667         }
 668
 669         if (!strncmp(name, XATTR_SECURITY_PREFIX,
 670                      sizeof(XATTR_SECURITY_PREFIX) - 1) &&
 671             !capable(CAP_SYS_ADMIN))
 672                 return -EPERM;
 673         return 0;
 674 }
 675
 676 /*
 677  * cap_emulate_setxuid() fixes the effective / permitted capabilities of
 678  * a process after a call to setuid, setreuid, or setresuid.
 679  *
 680  *  1) When set*uiding _from_ one of {r,e,s}uid == 0 _to_ all of
 681  *  {r,e,s}uid != 0, the permitted and effective capabilities are
 682  *  cleared.
 683  *
 684  *  2) When set*uiding _from_ euid == 0 _to_ euid != 0, the effective
 685  *  capabilities of the process are cleared.
 686  *
 687  *  3) When set*uiding _from_ euid != 0 _to_ euid == 0, the effective
 688  *  capabilities are set to the permitted capabilities.
 689  *
 690  *  fsuid is handled elsewhere. fsuid == 0 and {r,e,s}uid!= 0 should
 691  *  never happen.
 692  *
 693  *  -astor
 694  *
 695  * cevans - New behaviour, Oct '99
 696  * A process may, via prctl(), elect to keep its capabilities when it
 697  * calls setuid() and switches away from uid==0. Both permitted and
 698  * effective sets will be retained.
 699  * Without this change, it was impossible for a daemon to drop only some
 700  * of its privilege. The call to setuid(!=0) would drop all privileges!
 701  * Keeping uid 0 is not an option because uid 0 owns too many vital
 702  * files..
 703  * Thanks to Olaf Kirch and Peter Benie for spotting this.
 704  */
 705 static inline void cap_emulate_setxuid(struct cred *new, const struct cred *old)
 706 {
 707         kuid_t root_uid = make_kuid(old->user_ns, 0);
 708
 709         if ((uid_eq(old->uid, root_uid) ||
 710              uid_eq(old->euid, root_uid) ||
 711              uid_eq(old->suid, root_uid)) &&
 712             (!uid_eq(new->uid, root_uid) &&
 713              !uid_eq(new->euid, root_uid) &&
 714              !uid_eq(new->suid, root_uid)) &&
 715             !issecure(SECURE_KEEP_CAPS)) {
 716                 cap_clear(new->cap_permitted);
 717                 cap_clear(new->cap_effective);
 718         }
 719         if (uid_eq(old->euid, root_uid) && !uid_eq(new->euid, root_uid))
 720                 cap_clear(new->cap_effective);
 721         if (!uid_eq(old->euid, root_uid) && uid_eq(new->euid, root_uid))
 722                 new->cap_effective = new->cap_permitted;
 723 }
 724
 725 /**
 726  * cap_task_fix_setuid - Fix up the results of setuid() call
 727  * @new: The proposed credentials
 728  * @old: The current task's current credentials
 729  * @flags: Indications of what has changed
 730  *
 731  * Fix up the results of setuid() call before the credential changes are
 732  * actually applied, returning 0 to grant the changes, -ve to deny them.
 733  */
 734 int cap_task_fix_setuid(struct cred *new, const struct cred *old, int flags)
 735 {
 736         switch (flags) {
 737         case LSM_SETID_RE:
 738         case LSM_SETID_ID:
 739         case LSM_SETID_RES:
 740                 /* juggle the capabilities to follow [RES]UID changes unless
 741                  * otherwise suppressed */
 742                 if (!issecure(SECURE_NO_SETUID_FIXUP))
 743                         cap_emulate_setxuid(new, old);
 744                 break;
 745
 746         case LSM_SETID_FS:
 747                 /* juggle the capabilties to follow FSUID changes, unless
 748                  * otherwise suppressed
 749                  *
 750                  * FIXME - is fsuser used for all CAP_FS_MASK capabilities?
 751                  *          if not, we might be a bit too harsh here.
 752                  */
 753                 if (!issecure(SECURE_NO_SETUID_FIXUP)) {
 754                         kuid_t root_uid = make_kuid(old->user_ns, 0);
 755                         if (uid_eq(old->fsuid, root_uid) && !uid_eq(new->fsuid, root_uid))
 756                                 new->cap_effective =
 757                                         cap_drop_fs_set(new->cap_effective);
 758
 759                         if (!uid_eq(old->fsuid, root_uid) && uid_eq(new->fsuid, root_uid))
 760                                 new->cap_effective =
 761                                         cap_raise_fs_set(new->cap_effective,
 762                                                          new->cap_permitted);
 763                 }
 764                 break;
 765
 766         default:
 767                 return -EINVAL;
 768         }
 769
 770         return 0;
 771 }
 772
 773 /*
 774  * Rationale: code calling task_setscheduler, task_setioprio, and
 775  * task_setnice, assumes that
 776  *   . if capable(cap_sys_nice), then those actions should be allowed
 777  *   . if not capable(cap_sys_nice), but acting on your own processes,
 778  *      then those actions should be allowed
 779  * This is insufficient now since you can call code without suid, but
 780  * yet with increased caps.
 781  * So we check for increased caps on the target process.
 782  */
 783 static int cap_safe_nice(struct task_struct *p)
 784 {
 785         int is_subset;
 786
 787         rcu_read_lock();
 788         is_subset = cap_issubset(__task_cred(p)->cap_permitted,
 789                                  current_cred()->cap_permitted);
 790         rcu_read_unlock();
 791
 792         if (!is_subset && !capable(CAP_SYS_NICE))
 793                 return -EPERM;
 794         return 0;
 795 }
 796
 797 /**
 798  * cap_task_setscheduler - Detemine if scheduler policy change is permitted
 799  * @p: The task to affect
 800  *
 801  * Detemine if the requested scheduler policy change is permitted for the
 802  * specified task, returning 0 if permission is granted, -ve if denied.
 803  */
 804 int cap_task_setscheduler(struct task_struct *p)
 805 {
 806         return cap_safe_nice(p);
 807 }
 808
 809 /**
 810  * cap_task_ioprio - Detemine if I/O priority change is permitted
 811  * @p: The task to affect
 812  * @ioprio: The I/O priority to set
 813  *
 814  * Detemine if the requested I/O priority change is permitted for the specified
 815  * task, returning 0 if permission is granted, -ve if denied.
 816  */
 817 int cap_task_setioprio(struct task_struct *p, int ioprio)
 818 {
 819         return cap_safe_nice(p);
 820 }
 821
 822 /**
 823  * cap_task_ioprio - Detemine if task priority change is permitted
 824  * @p: The task to affect
 825  * @nice: The nice value to set
 826  *
 827  * Detemine if the requested task priority change is permitted for the
 828  * specified task, returning 0 if permission is granted, -ve if denied.
 829  */
 830 int cap_task_setnice(struct task_struct *p, int nice)
 831 {
 832         return cap_safe_nice(p);
 833 }
 834
 835 /*
 836  * Implement PR_CAPBSET_DROP.  Attempt to remove the specified capability from
 837  * the current task's bounding set.  Returns 0 on success, -ve on error.
 838  */
 839 static long cap_prctl_drop(struct cred *new, unsigned long cap)
 840 {
 841         if (!capable(CAP_SETPCAP))
 842                 return -EPERM;
 843         if (!cap_valid(cap))
 844                 return -EINVAL;
 845
 846         cap_lower(new->cap_bset, cap);
 847         return 0;
 848 }
 849
 850 /**
 851  * cap_task_prctl - Implement process control functions for this security module
 852  * @option: The process control function requested
 853  * @arg2, @arg3, @arg4, @arg5: The argument data for this function
 854  *
 855  * Allow process control functions (sys_prctl()) to alter capabilities; may
 856  * also deny access to other functions not otherwise implemented here.
 857  *
 858  * Returns 0 or +ve on success, -ENOSYS if this function is not implemented
 859  * here, other -ve on error.  If -ENOSYS is returned, sys_prctl() and other LSM
 860  * modules will consider performing the function.
 861  */
 862 int cap_task_prctl(int option, unsigned long arg2, unsigned long arg3,
 863                    unsigned long arg4, unsigned long arg5)
 864 {
 865         struct cred *new;
 866         long error = 0;
 867
 868         new = prepare_creds();
 869         if (!new)
 870                 return -ENOMEM;
 871
 872         switch (option) {
 873         case PR_CAPBSET_READ:
 874                 error = -EINVAL;
 875                 if (!cap_valid(arg2))
 876                         goto error;
 877                 error = !!cap_raised(new->cap_bset, arg2);
 878                 goto no_change;
 879
 880         case PR_CAPBSET_DROP:
 881                 error = cap_prctl_drop(new, arg2);
 882                 if (error < 0)
 883                         goto error;
 884                 goto changed;
 885
 886         /*
 887          * The next four prctl's remain to assist with transitioning a
 888          * system from legacy UID=0 based privilege (when filesystem
 889          * capabilities are not in use) to a system using filesystem
 890          * capabilities only - as the POSIX.1e draft intended.
 891          *
 892          * Note:
 893          *
 894          *  PR_SET_SECUREBITS =
 895          *      issecure_mask(SECURE_KEEP_CAPS_LOCKED)
 896          *    | issecure_mask(SECURE_NOROOT)
 897          *    | issecure_mask(SECURE_NOROOT_LOCKED)
 898          *    | issecure_mask(SECURE_NO_SETUID_FIXUP)
 899          *    | issecure_mask(SECURE_NO_SETUID_FIXUP_LOCKED)
 900          *
 901          * will ensure that the current process and all of its
 902          * children will be locked into a pure
 903          * capability-based-privilege environment.
 904          */
 905         case PR_SET_SECUREBITS:
 906                 error = -EPERM;
 907                 if ((((new->securebits & SECURE_ALL_LOCKS) >> 1)
 908                      & (new->securebits ^ arg2))                        /*[1]*/
 909                     || ((new->securebits & SECURE_ALL_LOCKS & ~arg2))   /*[2]*/
 910                     || (arg2 & ~(SECURE_ALL_LOCKS | SECURE_ALL_BITS))   /*[3]*/
 911                     || (cap_capable(current_cred(),
 912                                     current_cred()->user_ns, CAP_SETPCAP,
 913                                     SECURITY_CAP_AUDIT) != 0)           /*[4]*/
 914                         /*
 915                          * [1] no changing of bits that are locked
 916                          * [2] no unlocking of locks
 917                          * [3] no setting of unsupported bits
 918                          * [4] doing anything requires privilege (go read about
 919                          *     the "sendmail capabilities bug")
 920                          */
 921                     )
 922                         /* cannot change a locked bit */
 923                         goto error;
 924                 new->securebits = arg2;
 925                 goto changed;
 926
 927         case PR_GET_SECUREBITS:
 928                 error = new->securebits;
 929                 goto no_change;
 930
 931         case PR_GET_KEEPCAPS:
 932                 if (issecure(SECURE_KEEP_CAPS))
 933                         error = 1;
 934                 goto no_change;
 935
 936         case PR_SET_KEEPCAPS:
 937                 error = -EINVAL;
 938                 if (arg2 > 1) /* Note, we rely on arg2 being unsigned here */
 939                         goto error;
 940                 error = -EPERM;
 941                 if (issecure(SECURE_KEEP_CAPS_LOCKED))
 942                         goto error;
 943                 if (arg2)
 944                         new->securebits |= issecure_mask(SECURE_KEEP_CAPS);
 945                 else
 946                         new->securebits &= ~issecure_mask(SECURE_KEEP_CAPS);
 947                 goto changed;
 948
 949         default:
 950                 /* No functionality available - continue with default */
 951                 error = -ENOSYS;
 952                 goto error;
 953         }
 954
 955         /* Functionality provided */
 956 changed:
 957         return commit_creds(new);
 958
 959 no_change:
 960 error:
 961         abort_creds(new);
 962         return error;
 963 }
 964
 965 /**
 966  * cap_vm_enough_memory - Determine whether a new virtual mapping is permitted
 967  * @mm: The VM space in which the new mapping is to be made
 968  * @pages: The size of the mapping
 969  *
 970  * Determine whether the allocation of a new virtual mapping by the current
 971  * task is permitted, returning 0 if permission is granted, -ve if not.
 972  */
 973 int cap_vm_enough_memory(struct mm_struct *mm, long pages)
 974 {
 975         int cap_sys_admin = 0;
 976
 977         if (cap_capable(current_cred(), &init_user_ns, CAP_SYS_ADMIN,
 978                         SECURITY_CAP_NOAUDIT) == 0)
 979                 cap_sys_admin = 1;
 980         return __vm_enough_memory(mm, pages, cap_sys_admin);
 981 }
 982
 983 /*
 984  * cap_mmap_addr - check if able to map given addr
 985  * @addr: address attempting to be mapped
 986  *
 987  * If the process is attempting to map memory below dac_mmap_min_addr they need
 988  * CAP_SYS_RAWIO.  The other parameters to this function are unused by the
 989  * capability security module.  Returns 0 if this mapping should be allowed
 990  * -EPERM if not.
 991  */
 992 int cap_mmap_addr(unsigned long addr)
 993 {
 994         int ret = 0;
 995
 996         if (addr < dac_mmap_min_addr) {
 997                 ret = cap_capable(current_cred(), &init_user_ns, CAP_SYS_RAWIO,
 998                                   SECURITY_CAP_AUDIT);
 999                 /* set PF_SUPERPRIV if it turns out we allow the low mmap */
1000                 if (ret == 0)
1001                         current->flags |= PF_SUPERPRIV;
1002         }
1003         return ret;
1004 }
1005
1006 int cap_mmap_file(struct file *file, unsigned long reqprot,
1007                   unsigned long prot, unsigned long flags)
1008 {
1009         return 0;
1010 }