op public repos

Blame

Date:: Mon Jan 25 15:25:04 2021 UTC
Message:: [seccomp] allow getrandom
Actions:: History | Blob | Raw File
  1 e29dbd72 2021-01-23 op /*
  2 1a49166d 2021-01-23 op  * Copyright (c) 2021 Omar Polo <op@omarpolo.com>
  3 e29dbd72 2021-01-23 op  *
  4 e29dbd72 2021-01-23 op  * Permission to use, copy, modify, and distribute this software for any
  5 e29dbd72 2021-01-23 op  * purpose with or without fee is hereby granted, provided that the above
  6 e29dbd72 2021-01-23 op  * copyright notice and this permission notice appear in all copies.
  7 e29dbd72 2021-01-23 op  *
  8 e29dbd72 2021-01-23 op  * THE SOFTWARE IS PROVIDED "AS IS" AND THE AUTHOR DISCLAIMS ALL WARRANTIES
  9 e29dbd72 2021-01-23 op  * WITH REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF
 10 e29dbd72 2021-01-23 op  * MERCHANTABILITY AND FITNESS. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR
 11 e29dbd72 2021-01-23 op  * ANY SPECIAL, DIRECT, INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES
 12 e29dbd72 2021-01-23 op  * WHATSOEVER RESULTING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN AN
 13 e29dbd72 2021-01-23 op  * ACTION OF CONTRACT, NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF
 14 e29dbd72 2021-01-23 op  * OR IN CONNECTION WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.
 15 e29dbd72 2021-01-23 op  */
 16 e29dbd72 2021-01-23 op 
 17 dafb57b8 2021-01-15 op #include "gmid.h"
 18 dafb57b8 2021-01-15 op 
 19 dafb57b8 2021-01-15 op #if defined(__FreeBSD__)
 20 dafb57b8 2021-01-15 op 
 21 dafb57b8 2021-01-15 op #include <sys/capsicum.h>
 22 dafb57b8 2021-01-15 op #include <err.h>
 23 dafb57b8 2021-01-15 op 
 24 dafb57b8 2021-01-15 op void
 25 dafb57b8 2021-01-15 op sandbox()
 26 dafb57b8 2021-01-15 op {
 27 dafb57b8 2021-01-15 op 	if (cap_enter() == -1)
 28 dafb57b8 2021-01-15 op 		err(1, "cap_enter");
 29 dafb57b8 2021-01-15 op }
 30 dafb57b8 2021-01-15 op 
 31 dafb57b8 2021-01-15 op #elif defined(__linux__)
 32 dafb57b8 2021-01-15 op 
 33 71b7eb2f 2021-01-17 op #include <sys/prctl.h>
 34 71b7eb2f 2021-01-17 op #include <sys/syscall.h>
 35 71b7eb2f 2021-01-17 op #include <sys/syscall.h>
 36 71b7eb2f 2021-01-17 op #include <sys/types.h>
 37 71b7eb2f 2021-01-17 op 
 38 71b7eb2f 2021-01-17 op #include <linux/audit.h>
 39 71b7eb2f 2021-01-17 op #include <linux/filter.h>
 40 71b7eb2f 2021-01-17 op #include <linux/seccomp.h>
 41 71b7eb2f 2021-01-17 op 
 42 71b7eb2f 2021-01-17 op #include <errno.h>
 43 3c0375e4 2021-01-20 op #include <fcntl.h>
 44 71b7eb2f 2021-01-17 op #include <stddef.h>
 45 71b7eb2f 2021-01-17 op #include <stdio.h>
 46 71b7eb2f 2021-01-17 op #include <string.h>
 47 71b7eb2f 2021-01-17 op 
 48 71b7eb2f 2021-01-17 op /* thanks chromium' src/seccomp.c */
 49 71b7eb2f 2021-01-17 op #if defined(__i386__)
 50 71b7eb2f 2021-01-17 op #  define SECCOMP_AUDIT_ARCH AUDIT_ARCH_I386
 51 71b7eb2f 2021-01-17 op #elif defined(__x86_64__)
 52 71b7eb2f 2021-01-17 op #  define SECCOMP_AUDIT_ARCH AUDIT_ARCH_X86_64
 53 71b7eb2f 2021-01-17 op #elif defined(__arm__)
 54 71b7eb2f 2021-01-17 op #  define SECCOMP_AUDIT_ARCH AUDIT_ARCH_ARM
 55 71b7eb2f 2021-01-17 op #elif defined(__aarch64__)
 56 71b7eb2f 2021-01-17 op #  define SECCOMP_AUDIT_ARCH AUDIT_ARCH_AARCH64
 57 71b7eb2f 2021-01-17 op #elif defined(__mips__)
 58 71b7eb2f 2021-01-17 op #  if defined(__mips64)
 59 71b7eb2f 2021-01-17 op #    if defined(__MIPSEB__)
 60 71b7eb2f 2021-01-17 op #      define SECCOMP_AUDIT_ARCH AUDIT_ARCH_MIPS64
 61 71b7eb2f 2021-01-17 op #    else
 62 71b7eb2f 2021-01-17 op #      define SECCOMP_AUDIT_ARCH AUDIT_ARCH_MIPSEL64
 63 71b7eb2f 2021-01-17 op #    endif
 64 71b7eb2f 2021-01-17 op #  else
 65 71b7eb2f 2021-01-17 op #    if defined(__MIPSEB__)
 66 71b7eb2f 2021-01-17 op #      define SECCOMP_AUDIT_ARCH AUDIT_ARCH_MIPS
 67 71b7eb2f 2021-01-17 op #    else
 68 71b7eb2f 2021-01-17 op #      define SECCOMP_AUDIT_ARCH AUDIT_ARCH_MIPSEL
 69 71b7eb2f 2021-01-17 op #    endif
 70 71b7eb2f 2021-01-17 op #  endif
 71 71b7eb2f 2021-01-17 op #else
 72 71b7eb2f 2021-01-17 op #  error "Platform does not support seccomp filter yet"
 73 71b7eb2f 2021-01-17 op #endif
 74 71b7eb2f 2021-01-17 op 
 75 71b7eb2f 2021-01-17 op /* uncomment to enable debugging.  ONLY FOR DEVELOPMENT */
 76 71b7eb2f 2021-01-17 op /* #define SC_DEBUG */
 77 71b7eb2f 2021-01-17 op 
 78 71b7eb2f 2021-01-17 op #ifdef SC_DEBUG
 79 71b7eb2f 2021-01-17 op # define SC_FAIL SECCOMP_RET_TRAP
 80 71b7eb2f 2021-01-17 op #else
 81 71b7eb2f 2021-01-17 op # define SC_FAIL SECCOMP_RET_KILL
 82 71b7eb2f 2021-01-17 op #endif
 83 71b7eb2f 2021-01-17 op 
 84 71b7eb2f 2021-01-17 op /* make the filter more readable */
 85 71b7eb2f 2021-01-17 op #define SC_ALLOW(nr)						\
 86 71b7eb2f 2021-01-17 op 	BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_##nr, 0, 1),	\
 87 71b7eb2f 2021-01-17 op 	BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW)
 88 71b7eb2f 2021-01-17 op 
 89 71b7eb2f 2021-01-17 op #ifdef SC_DEBUG
 90 71b7eb2f 2021-01-17 op 
 91 71b7eb2f 2021-01-17 op #include <signal.h>
 92 71b7eb2f 2021-01-17 op #include <unistd.h>
 93 71b7eb2f 2021-01-17 op 
 94 71b7eb2f 2021-01-17 op static void
 95 71b7eb2f 2021-01-17 op sandbox_seccomp_violation(int signum, siginfo_t *info, void *ctx)
 96 71b7eb2f 2021-01-17 op {
 97 71b7eb2f 2021-01-17 op 	(void)signum;
 98 71b7eb2f 2021-01-17 op 	(void)ctx;
 99 71b7eb2f 2021-01-17 op 
100 71b7eb2f 2021-01-17 op 	fprintf(stderr, "%s: unexpected system call (arch:0x%x,syscall:%d @ %p)\n",
101 71b7eb2f 2021-01-17 op 	    __func__, info->si_arch, info->si_syscall, info->si_call_addr);
102 71b7eb2f 2021-01-17 op 	_exit(1);
103 71b7eb2f 2021-01-17 op }
104 71b7eb2f 2021-01-17 op 
105 71b7eb2f 2021-01-17 op static void
106 71b7eb2f 2021-01-17 op sandbox_seccomp_catch_sigsys(void)
107 71b7eb2f 2021-01-17 op {
108 71b7eb2f 2021-01-17 op 	struct sigaction act;
109 71b7eb2f 2021-01-17 op 	sigset_t mask;
110 71b7eb2f 2021-01-17 op 
111 71b7eb2f 2021-01-17 op 	memset(&act, 0, sizeof(act));
112 71b7eb2f 2021-01-17 op 	sigemptyset(&mask);
113 71b7eb2f 2021-01-17 op 	sigaddset(&mask, SIGSYS);
114 71b7eb2f 2021-01-17 op 
115 71b7eb2f 2021-01-17 op 	act.sa_sigaction = &sandbox_seccomp_violation;
116 71b7eb2f 2021-01-17 op 	act.sa_flags = SA_SIGINFO;
117 71b7eb2f 2021-01-17 op 	if (sigaction(SIGSYS, &act, NULL) == -1) {
118 71b7eb2f 2021-01-17 op 		fprintf(stderr, "%s: sigaction(SIGSYS): %s\n",
119 71b7eb2f 2021-01-17 op 		    __func__, strerror(errno));
120 71b7eb2f 2021-01-17 op 		exit(1);
121 71b7eb2f 2021-01-17 op 	}
122 71b7eb2f 2021-01-17 op 	if (sigprocmask(SIG_UNBLOCK, &mask, NULL) == -1) {
123 71b7eb2f 2021-01-17 op 		fprintf(stderr, "%s: sigprocmask(SIGSYS): %s\n",
124 71b7eb2f 2021-01-17 op 		    __func__, strerror(errno));
125 71b7eb2f 2021-01-17 op 		exit(1);
126 71b7eb2f 2021-01-17 op 	}
127 71b7eb2f 2021-01-17 op }
128 71b7eb2f 2021-01-17 op #endif	/* SC_DEBUG */
129 71b7eb2f 2021-01-17 op 
130 dafb57b8 2021-01-15 op void
131 dafb57b8 2021-01-15 op sandbox()
132 dafb57b8 2021-01-15 op {
133 71b7eb2f 2021-01-17 op 	struct sock_filter filter[] = {
134 71b7eb2f 2021-01-17 op 		/* load the *current* architecture */
135 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
136 71b7eb2f 2021-01-17 op 		    (offsetof(struct seccomp_data, arch))),
137 71b7eb2f 2021-01-17 op 		/* ensure it's the same that we've been compiled on */
138 71b7eb2f 2021-01-17 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K,
139 71b7eb2f 2021-01-17 op 		    SECCOMP_AUDIT_ARCH, 1, 0),
140 71b7eb2f 2021-01-17 op 		/* if not, kill the program */
141 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_RET | BPF_K, SC_FAIL),
142 71b7eb2f 2021-01-17 op 
143 71b7eb2f 2021-01-17 op 		/* load the syscall number */
144 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
145 71b7eb2f 2021-01-17 op 		    (offsetof(struct seccomp_data, nr))),
146 71b7eb2f 2021-01-17 op 
147 71b7eb2f 2021-01-17 op 		/* allow logging on stdout */
148 71b7eb2f 2021-01-17 op 		SC_ALLOW(write),
149 71b7eb2f 2021-01-17 op 		SC_ALLOW(writev),
150 71b7eb2f 2021-01-17 op 		SC_ALLOW(readv),
151 71b7eb2f 2021-01-17 op 
152 71b7eb2f 2021-01-17 op 		/* these are used to serve the files.  note how we
153 71b7eb2f 2021-01-17 op 		 * allow openat but not open. */
154 298e4b96 2021-01-20 op 
155 298e4b96 2021-01-20 op #ifdef __aarch64__
156 298e4b96 2021-01-20 op 		/* it seems that on aarch64 there isn't a poll(2)
157 298e4b96 2021-01-20 op 		 * syscall, but instead it's implemented on top of
158 298e4b96 2021-01-20 op 		 * ppoll(2). */
159 298e4b96 2021-01-20 op 		SC_ALLOW(ppoll),
160 298e4b96 2021-01-20 op #else
161 65fba1d5 2021-01-17 op 		SC_ALLOW(poll),
162 94a79035 2021-01-18 op #endif
163 71b7eb2f 2021-01-17 op 		SC_ALLOW(accept),
164 71b7eb2f 2021-01-17 op 		SC_ALLOW(read),
165 71b7eb2f 2021-01-17 op 		SC_ALLOW(openat),
166 71b7eb2f 2021-01-17 op 		SC_ALLOW(fstat),
167 71b7eb2f 2021-01-17 op 		SC_ALLOW(close),
168 71b7eb2f 2021-01-17 op 		SC_ALLOW(lseek),
169 71b7eb2f 2021-01-17 op 		SC_ALLOW(brk),
170 71b7eb2f 2021-01-17 op 		SC_ALLOW(mmap),
171 71b7eb2f 2021-01-17 op 		SC_ALLOW(munmap),
172 71b7eb2f 2021-01-17 op 
173 71b7eb2f 2021-01-17 op 		/* we need recvmsg to receive fd */
174 71b7eb2f 2021-01-17 op 		SC_ALLOW(recvmsg),
175 71b7eb2f 2021-01-17 op 
176 71b7eb2f 2021-01-17 op 		/* XXX: ??? */
177 71b7eb2f 2021-01-17 op 		SC_ALLOW(getpid),
178 71b7eb2f 2021-01-17 op 
179 f2b3a519 2021-01-20 op 		/* alpine on amd64 does a clock_gettime(2) */
180 f2b3a519 2021-01-20 op 		SC_ALLOW(clock_gettime),
181 f2b3a519 2021-01-20 op 
182 2d3f837a 2021-01-25 op 		/* void on aarch64 does a gettrandom */
183 2d3f837a 2021-01-25 op 		SC_ALLOW(getrandom),
184 2d3f837a 2021-01-25 op 
185 f88311e5 2021-01-24 op 		/* for directory listing */
186 f88311e5 2021-01-24 op 		SC_ALLOW(getdents64),
187 f88311e5 2021-01-24 op 
188 71b7eb2f 2021-01-17 op 		SC_ALLOW(exit),
189 71b7eb2f 2021-01-17 op 		SC_ALLOW(exit_group),
190 f2b3a519 2021-01-20 op 
191 f2b3a519 2021-01-20 op 		/* allow only F_GETFL and F_SETFL fcntl */
192 f88311e5 2021-01-24 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_fcntl, 0, 8),
193 de4f7131 2021-01-20 op 		BPF_STMT(BPF_LD  | BPF_W | BPF_ABS,
194 3c0375e4 2021-01-20 op 		    (offsetof(struct seccomp_data, args[1]))),
195 3c0375e4 2021-01-20 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, F_GETFL, 0, 1),
196 3c0375e4 2021-01-20 op 		BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),
197 3c0375e4 2021-01-20 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, F_SETFL, 0, 1),
198 3c0375e4 2021-01-20 op 		BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),
199 f88311e5 2021-01-24 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, F_SETFD, 0, 1),
200 f88311e5 2021-01-24 op 		BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),
201 3c0375e4 2021-01-20 op 		BPF_STMT(BPF_RET | BPF_K, SC_FAIL),
202 61f8d630 2021-01-20 op 
203 f2b3a519 2021-01-20 op 		/* re-load the syscall number */
204 de4f7131 2021-01-20 op 		BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
205 de4f7131 2021-01-20 op 		    (offsetof(struct seccomp_data, nr))),
206 de4f7131 2021-01-20 op 
207 71b7eb2f 2021-01-17 op 		/* allow ioctl but only on fd 1, glibc doing stuff? */
208 71b7eb2f 2021-01-17 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_ioctl, 0, 3),
209 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_LD | BPF_W | BPF_ABS,
210 71b7eb2f 2021-01-17 op 		    (offsetof(struct seccomp_data, args[0]))),
211 71b7eb2f 2021-01-17 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 1, 0, 1),
212 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),
213 71b7eb2f 2021-01-17 op 
214 71b7eb2f 2021-01-17 op 		/* disallow enything else */
215 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_RET | BPF_K, SC_FAIL),
216 71b7eb2f 2021-01-17 op 	};
217 71b7eb2f 2021-01-17 op 
218 71b7eb2f 2021-01-17 op 	struct sock_fprog prog = {
219 71b7eb2f 2021-01-17 op 		.len = (unsigned short) (sizeof(filter) / sizeof(filter[0])),
220 71b7eb2f 2021-01-17 op 		.filter = filter,
221 71b7eb2f 2021-01-17 op 	};
222 71b7eb2f 2021-01-17 op 
223 71b7eb2f 2021-01-17 op #ifdef SC_DEBUG
224 71b7eb2f 2021-01-17 op 	sandbox_seccomp_catch_sigsys();
225 71b7eb2f 2021-01-17 op #endif
226 71b7eb2f 2021-01-17 op 
227 71b7eb2f 2021-01-17 op 	if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0) == -1) {
228 71b7eb2f 2021-01-17 op 		fprintf(stderr, "%s: prctl(PR_SET_NO_NEW_PRIVS): %s\n",
229 71b7eb2f 2021-01-17 op 		    __func__, strerror(errno));
230 71b7eb2f 2021-01-17 op 		exit(1);
231 71b7eb2f 2021-01-17 op 	}
232 71b7eb2f 2021-01-17 op 
233 71b7eb2f 2021-01-17 op 	if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &prog) == -1) {
234 71b7eb2f 2021-01-17 op 		fprintf(stderr, "%s: prctl(PR_SET_SECCOMP): %s\n",
235 71b7eb2f 2021-01-17 op 		    __func__, strerror(errno));
236 71b7eb2f 2021-01-17 op 		exit(1);
237 71b7eb2f 2021-01-17 op 	}
238 dafb57b8 2021-01-15 op }
239 dafb57b8 2021-01-15 op 
240 dafb57b8 2021-01-15 op #elif defined(__OpenBSD__)
241 dafb57b8 2021-01-15 op 
242 dafb57b8 2021-01-15 op #include <err.h>
243 dafb57b8 2021-01-15 op #include <unistd.h>
244 dafb57b8 2021-01-15 op 
245 dafb57b8 2021-01-15 op void
246 dafb57b8 2021-01-15 op sandbox()
247 dafb57b8 2021-01-15 op {
248 dafb57b8 2021-01-15 op 	struct vhost *h;
249 dafb57b8 2021-01-15 op 
250 dafb57b8 2021-01-15 op 	for (h = hosts; h->domain != NULL; ++h) {
251 2d3cc76f 2021-01-25 op 		if (unveil(h->dir, "r") == -1)
252 dafb57b8 2021-01-15 op 			err(1, "unveil %s for domain %s", h->dir, h->domain);
253 dafb57b8 2021-01-15 op 	}
254 dafb57b8 2021-01-15 op 
255 881a9dd9 2021-01-16 op 	if (pledge("stdio recvfd rpath inet", NULL) == -1)
256 dafb57b8 2021-01-15 op 		err(1, "pledge");
257 dafb57b8 2021-01-15 op }
258 dafb57b8 2021-01-15 op 
259 dafb57b8 2021-01-15 op #else
260 dafb57b8 2021-01-15 op 
261 dafb57b8 2021-01-15 op void
262 dafb57b8 2021-01-15 op sandbox()
263 dafb57b8 2021-01-15 op {
264 dafb57b8 2021-01-15 op         LOGN(NULL, "%s", "no sandbox method known for this OS");
265 dafb57b8 2021-01-15 op }
266 dafb57b8 2021-01-15 op 
267 dafb57b8 2021-01-15 op #endif