1 e29dbd72 2021-01-23 op /*
  2 eac9287d 2023-06-24 op  * Copyright (c) 2021, 2023 Omar Polo <op@omarpolo.com>
  3 4d9d3093 2023-08-23 op  * Copyright (c) 2022 Claudio Jeker <claudio@openbsd.org>
  4 e29dbd72 2021-01-23 op  *
  5 e29dbd72 2021-01-23 op  * Permission to use, copy, modify, and distribute this software for any
  6 e29dbd72 2021-01-23 op  * purpose with or without fee is hereby granted, provided that the above
  7 e29dbd72 2021-01-23 op  * copyright notice and this permission notice appear in all copies.
  8 e29dbd72 2021-01-23 op  *
  9 e29dbd72 2021-01-23 op  * THE SOFTWARE IS PROVIDED "AS IS" AND THE AUTHOR DISCLAIMS ALL WARRANTIES
 10 e29dbd72 2021-01-23 op  * WITH REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF
 11 e29dbd72 2021-01-23 op  * MERCHANTABILITY AND FITNESS. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR
 12 e29dbd72 2021-01-23 op  * ANY SPECIAL, DIRECT, INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES
 13 e29dbd72 2021-01-23 op  * WHATSOEVER RESULTING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN AN
 14 e29dbd72 2021-01-23 op  * ACTION OF CONTRACT, NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF
 15 e29dbd72 2021-01-23 op  * OR IN CONNECTION WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.
 16 e29dbd72 2021-01-23 op  */
 17 e29dbd72 2021-01-23 op 
 18 dafb57b8 2021-01-15 op #include "gmid.h"
 19 eae52ad4 2023-06-06 op #include "log.h"
 20 71b7eb2f 2021-01-17 op 
 21 0b62f484 2023-05-08 op #if defined(__OpenBSD__)
 22 71b7eb2f 2021-01-17 op 
 23 71b7eb2f 2021-01-17 op #include <unistd.h>
 24 71b7eb2f 2021-01-17 op 
 25 dafb57b8 2021-01-15 op void
 26 c26f2460 2023-06-08 op sandbox_main_process(void)
 27 c26f2460 2023-06-08 op {
 28 226f13ec 2023-07-24 op 	if (pledge("stdio rpath wpath cpath inet dns sendfd", NULL) == -1)
 29 c26f2460 2023-06-08 op 		fatal("pledge");
 30 c26f2460 2023-06-08 op }
 31 c26f2460 2023-06-08 op 
 32 c26f2460 2023-06-08 op void
 33 1e0b9745 2023-05-08 op sandbox_server_process(void)
 34 dafb57b8 2021-01-15 op {
 35 c5ded53a 2023-06-23 op 	if (pledge("stdio rpath inet unix dns recvfd", NULL) == -1)
 36 8e56d6ad 2021-02-11 op 		fatal("pledge");
 37 dafb57b8 2021-01-15 op }
 38 dafb57b8 2021-01-15 op 
 39 dafb57b8 2021-01-15 op void
 40 86693a33 2023-06-11 op sandbox_crypto_process(void)
 41 86693a33 2023-06-11 op {
 42 86693a33 2023-06-11 op 	if (pledge("stdio recvfd", NULL) == -1)
 43 86693a33 2023-06-11 op 		fatal("pledge");
 44 86693a33 2023-06-11 op }
 45 86693a33 2023-06-11 op 
 46 86693a33 2023-06-11 op void
 47 62e001b0 2021-03-20 op sandbox_logger_process(void)
 48 62e001b0 2021-03-20 op {
 49 e952c505 2021-06-15 op 	if (pledge("stdio recvfd", NULL) == -1)
 50 2dd5994a 2023-06-06 op 		fatal("pledge");
 51 62e001b0 2021-03-20 op }
 52 62e001b0 2021-03-20 op 
 53 4d9d3093 2023-08-23 op #elif HAVE_LANDLOCK
 54 4d9d3093 2023-08-23 op 
 55 4d9d3093 2023-08-23 op #include <linux/landlock.h>
 56 4d9d3093 2023-08-23 op 
 57 4d9d3093 2023-08-23 op #include <sys/prctl.h>
 58 4d9d3093 2023-08-23 op #include <sys/syscall.h>
 59 4d9d3093 2023-08-23 op #include <sys/types.h>
 60 4d9d3093 2023-08-23 op 
 61 4d9d3093 2023-08-23 op #include <errno.h>
 62 4d9d3093 2023-08-23 op 
 63 4d9d3093 2023-08-23 op /*
 64 4d9d3093 2023-08-23 op  * What's the deal with landlock?  While distro with linux >= 5.13
 65 4d9d3093 2023-08-23 op  * have the struct declarations, libc wrappers are missing.  The
 66 4d9d3093 2023-08-23 op  * sample landlock code provided by the authors includes these "shims"
 67 4d9d3093 2023-08-23 op  * in their example for the landlock API until libc provides them.
 68 4d9d3093 2023-08-23 op  */
 69 4d9d3093 2023-08-23 op 
 70 4d9d3093 2023-08-23 op #ifndef landlock_create_ruleset
 71 4d9d3093 2023-08-23 op static inline int
 72 4d9d3093 2023-08-23 op landlock_create_ruleset(const struct landlock_ruleset_attr *attr, size_t size,
 73 4d9d3093 2023-08-23 op     __u32 flags)
 74 4d9d3093 2023-08-23 op {
 75 4d9d3093 2023-08-23 op 	return syscall(__NR_landlock_create_ruleset, attr, size, flags);
 76 4d9d3093 2023-08-23 op }
 77 4d9d3093 2023-08-23 op #endif
 78 4d9d3093 2023-08-23 op 
 79 4d9d3093 2023-08-23 op #ifndef landlock_add_rule
 80 4d9d3093 2023-08-23 op static inline int
 81 4d9d3093 2023-08-23 op landlock_add_rule(int ruleset_fd, enum landlock_rule_type type,
 82 4d9d3093 2023-08-23 op     const void *attr, __u32 flags)
 83 4d9d3093 2023-08-23 op {
 84 4d9d3093 2023-08-23 op 	return syscall(__NR_landlock_add_rule, ruleset_fd, type, attr, flags);
 85 4d9d3093 2023-08-23 op }
 86 4d9d3093 2023-08-23 op #endif
 87 4d9d3093 2023-08-23 op 
 88 4d9d3093 2023-08-23 op #ifndef landlock_restrict_self
 89 4d9d3093 2023-08-23 op static inline int
 90 4d9d3093 2023-08-23 op landlock_restrict_self(int ruleset_fd, __u32 flags)
 91 4d9d3093 2023-08-23 op {
 92 4d9d3093 2023-08-23 op 	return syscall(__NR_landlock_restrict_self, ruleset_fd, flags);
 93 4d9d3093 2023-08-23 op }
 94 4d9d3093 2023-08-23 op #endif
 95 4d9d3093 2023-08-23 op 
 96 4d9d3093 2023-08-23 op /*
 97 4d9d3093 2023-08-23 op  * Maybe we should ship with a full copy of the linux headers because
 98 4d9d3093 2023-08-23 op  * you never know...
 99 4d9d3093 2023-08-23 op  */
100 4d9d3093 2023-08-23 op 
101 4d9d3093 2023-08-23 op #ifndef LANDLOCK_ACCESS_FS_REFER
102 4d9d3093 2023-08-23 op #define LANDLOCK_ACCESS_FS_REFER	(1ULL << 13)
103 4d9d3093 2023-08-23 op #endif
104 4d9d3093 2023-08-23 op 
105 4d9d3093 2023-08-23 op #ifndef LANDLOCK_ACCESS_FS_TRUNCATE
106 4d9d3093 2023-08-23 op #define LANDLOCK_ACCESS_FS_TRUNCATE	(1ULL << 14)
107 4d9d3093 2023-08-23 op #endif
108 4d9d3093 2023-08-23 op 
109 4d9d3093 2023-08-23 op static int landlock_state;
110 4d9d3093 2023-08-23 op static int landlock_fd;
111 4d9d3093 2023-08-23 op 
112 4d9d3093 2023-08-23 op /*
113 4d9d3093 2023-08-23 op  * Initialize landlock, which is stupidly complicated.
114 4d9d3093 2023-08-23 op  */
115 4d9d3093 2023-08-23 op static int
116 4d9d3093 2023-08-23 op landlock_init(void)
117 4d9d3093 2023-08-23 op {
118 4d9d3093 2023-08-23 op 	struct landlock_ruleset_attr rattr = {
119 4d9d3093 2023-08-23 op 		/*
120 4d9d3093 2023-08-23 op 		 * List all capabilities currently defined by landlock.
121 4d9d3093 2023-08-23 op 		 * Failure in doing so will implicitly allow those actions
122 4d9d3093 2023-08-23 op 		 * (i.e. omitting READ_FILE will allow to read _any_ file.)
123 4d9d3093 2023-08-23 op 		 */
124 4d9d3093 2023-08-23 op 		.handled_access_fs =
125 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_EXECUTE |
126 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_READ_FILE |
127 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_READ_DIR |
128 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_WRITE_FILE |
129 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_REMOVE_DIR |
130 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_REMOVE_FILE |
131 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_MAKE_CHAR |
132 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_MAKE_DIR |
133 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_MAKE_REG |
134 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_MAKE_SOCK |
135 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_MAKE_FIFO |
136 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_MAKE_BLOCK |
137 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_MAKE_SYM |
138 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_REFER |
139 4d9d3093 2023-08-23 op 		LANDLOCK_ACCESS_FS_TRUNCATE,
140 4d9d3093 2023-08-23 op 	};
141 4d9d3093 2023-08-23 op 	int fd, abi, saved_errno;
142 4d9d3093 2023-08-23 op 
143 4d9d3093 2023-08-23 op 	if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0) == -1)
144 4d9d3093 2023-08-23 op 		return -1;
145 4d9d3093 2023-08-23 op 
146 4d9d3093 2023-08-23 op 	abi = landlock_create_ruleset(NULL, 0, LANDLOCK_CREATE_RULESET_VERSION);
147 4d9d3093 2023-08-23 op 	if (abi == -1)
148 4d9d3093 2023-08-23 op 		return -1;
149 4d9d3093 2023-08-23 op 	if (abi < 2)
150 4d9d3093 2023-08-23 op 		rattr.handled_access_fs &= ~LANDLOCK_ACCESS_FS_REFER;
151 4d9d3093 2023-08-23 op 	if (abi < 3)
152 4d9d3093 2023-08-23 op 		rattr.handled_access_fs &= ~LANDLOCK_ACCESS_FS_TRUNCATE;
153 4d9d3093 2023-08-23 op 
154 4d9d3093 2023-08-23 op 	landlock_state = 1;
155 4d9d3093 2023-08-23 op 	return landlock_create_ruleset(&rattr, sizeof(rattr), 0);
156 4d9d3093 2023-08-23 op }
157 4d9d3093 2023-08-23 op 
158 4d9d3093 2023-08-23 op static int
159 4d9d3093 2023-08-23 op landlock_lock(void)
160 4d9d3093 2023-08-23 op {
161 4d9d3093 2023-08-23 op 	int saved_errno;
162 4d9d3093 2023-08-23 op 
163 4d9d3093 2023-08-23 op 	if (landlock_restrict_self(landlock_fd, 0)) {
164 4d9d3093 2023-08-23 op 		saved_errno = errno;
165 4d9d3093 2023-08-23 op 		close(landlock_fd);
166 4d9d3093 2023-08-23 op 		errno = saved_errno;
167 4d9d3093 2023-08-23 op 		landlock_state = -1;
168 4d9d3093 2023-08-23 op 		return -1;
169 4d9d3093 2023-08-23 op 	}
170 4d9d3093 2023-08-23 op 
171 4d9d3093 2023-08-23 op 	landlock_state = 2;
172 4d9d3093 2023-08-23 op 	close(landlock_fd);
173 4d9d3093 2023-08-23 op 	return 0;
174 4d9d3093 2023-08-23 op }
175 4d9d3093 2023-08-23 op 
176 4d9d3093 2023-08-23 op static int
177 4d9d3093 2023-08-23 op landlock_unveil(const char *path, const char *permissions)
178 4d9d3093 2023-08-23 op {
179 4d9d3093 2023-08-23 op 	struct landlock_path_beneath_attr lpba;
180 4d9d3093 2023-08-23 op 	int fd, saved_errno;
181 4d9d3093 2023-08-23 op 
182 4d9d3093 2023-08-23 op 	if (landlock_state == 0) {
183 4d9d3093 2023-08-23 op 		if ((landlock_fd = landlock_init()) == -1) {
184 4d9d3093 2023-08-23 op 			landlock_state = -1;
185 4d9d3093 2023-08-23 op 			/* this kernel doesn't have landlock built in */
186 4d9d3093 2023-08-23 op 			if (errno == ENOSYS || errno == EOPNOTSUPP)
187 4d9d3093 2023-08-23 op 				return 0;
188 4d9d3093 2023-08-23 op 			return -1;
189 4d9d3093 2023-08-23 op 		}
190 4d9d3093 2023-08-23 op 	}
191 4d9d3093 2023-08-23 op 
192 4d9d3093 2023-08-23 op 	/* no landlock available */
193 4d9d3093 2023-08-23 op 	if (landlock_state == -1)
194 4d9d3093 2023-08-23 op 		return 0;
195 4d9d3093 2023-08-23 op 
196 4d9d3093 2023-08-23 op 	if (path == NULL && permissions == NULL)
197 4d9d3093 2023-08-23 op 		return landlock_lock();
198 4d9d3093 2023-08-23 op 
199 4d9d3093 2023-08-23 op 	if (path == NULL || permissions == NULL || landlock_state != 1) {
200 4d9d3093 2023-08-23 op 		errno = EINVAL;
201 4d9d3093 2023-08-23 op 		return -1;
202 4d9d3093 2023-08-23 op 	}
203 4d9d3093 2023-08-23 op 
204 4d9d3093 2023-08-23 op 	if (!strcmp(permissions, "r")) {
205 4d9d3093 2023-08-23 op 		fd = open(path, O_PATH | O_CLOEXEC);
206 4d9d3093 2023-08-23 op 		if (fd == -1)
207 4d9d3093 2023-08-23 op 			return -1;
208 4d9d3093 2023-08-23 op 		lpba = (struct landlock_path_beneath_attr){
209 4d9d3093 2023-08-23 op 			.allowed_access =
210 4d9d3093 2023-08-23 op 			    LANDLOCK_ACCESS_FS_READ_FILE |
211 4d9d3093 2023-08-23 op 			    LANDLOCK_ACCESS_FS_READ_DIR,
212 4d9d3093 2023-08-23 op 			.parent_fd = fd,
213 4d9d3093 2023-08-23 op 		};
214 4d9d3093 2023-08-23 op 		if (landlock_add_rule(landlock_fd, LANDLOCK_RULE_PATH_BENEATH,
215 4d9d3093 2023-08-23 op 		    &lpba, 0) == -1) {
216 4d9d3093 2023-08-23 op 			saved_errno = errno;
217 4d9d3093 2023-08-23 op 			close(fd);
218 4d9d3093 2023-08-23 op 			errno = saved_errno;
219 4d9d3093 2023-08-23 op 			return -1;
220 4d9d3093 2023-08-23 op 		}
221 4d9d3093 2023-08-23 op 		close(fd);
222 4d9d3093 2023-08-23 op 	}
223 4d9d3093 2023-08-23 op 
224 4d9d3093 2023-08-23 op 	return 0;
225 4d9d3093 2023-08-23 op }
226 4d9d3093 2023-08-23 op 
227 4d9d3093 2023-08-23 op void
228 4d9d3093 2023-08-23 op sandbox_main_process(void)
229 4d9d3093 2023-08-23 op {
230 4d9d3093 2023-08-23 op 	return;
231 4d9d3093 2023-08-23 op }
232 4d9d3093 2023-08-23 op 
233 4d9d3093 2023-08-23 op void
234 4d9d3093 2023-08-23 op sandbox_server_process(void)
235 4d9d3093 2023-08-23 op {
236 4d9d3093 2023-08-23 op 	if (landlock_unveil("/", "r") == -1)
237 4d9d3093 2023-08-23 op 		fatal("landlock_unveil(/)");
238 4d9d3093 2023-08-23 op 
239 4d9d3093 2023-08-23 op 	if (landlock_unveil(NULL, NULL) == -1)
240 4d9d3093 2023-08-23 op 		fatal("landlock_unveil(NULL, NULL)");
241 4d9d3093 2023-08-23 op }
242 4d9d3093 2023-08-23 op 
243 4d9d3093 2023-08-23 op void
244 4d9d3093 2023-08-23 op sandbox_crypto_process(void)
245 4d9d3093 2023-08-23 op {
246 4d9d3093 2023-08-23 op 	/* contrary to unveil(2), this removes all fs access. */
247 4d9d3093 2023-08-23 op 	if (landlock_unveil(NULL, NULL) == -1)
248 4d9d3093 2023-08-23 op 		fatal("landlock_unveil(NULL, NULL)");
249 4d9d3093 2023-08-23 op }
250 4d9d3093 2023-08-23 op 
251 4d9d3093 2023-08-23 op void
252 4d9d3093 2023-08-23 op sandbox_logger_process(void)
253 4d9d3093 2023-08-23 op {
254 4d9d3093 2023-08-23 op 	/* contrary to unveil(2), this removes all fs access. */
255 4d9d3093 2023-08-23 op 	if (landlock_unveil(NULL, NULL) == -1)
256 4d9d3093 2023-08-23 op 		fatal("landlock_unveil(NULL, NULL)");
257 4d9d3093 2023-08-23 op }
258 4d9d3093 2023-08-23 op 
259 62e001b0 2021-03-20 op #else
260 62e001b0 2021-03-20 op 
261 62e001b0 2021-03-20 op void
262 fc440833 2023-06-08 op sandbox_main_process(void)
263 fc440833 2023-06-08 op {
264 fc440833 2023-06-08 op 	return;
265 fc440833 2023-06-08 op }
266 fc440833 2023-06-08 op 
267 fc440833 2023-06-08 op void
268 1e0b9745 2023-05-08 op sandbox_server_process(void)
269 62e001b0 2021-03-20 op {
270 62e001b0 2021-03-20 op 	return;
271 62e001b0 2021-03-20 op }
272 62e001b0 2021-03-20 op 
273 62e001b0 2021-03-20 op void
274 86693a33 2023-06-11 op sandbox_crypto_process(void)
275 86693a33 2023-06-11 op {
276 86693a33 2023-06-11 op 	return;
277 86693a33 2023-06-11 op }
278 86693a33 2023-06-11 op 
279 86693a33 2023-06-11 op void
280 62e001b0 2021-03-20 op sandbox_logger_process(void)
281 62e001b0 2021-03-20 op {
282 62e001b0 2021-03-20 op 	return;
283 62e001b0 2021-03-20 op }
284 62e001b0 2021-03-20 op 
285 dafb57b8 2021-01-15 op #endif