Blame

Date:
Message:
fix date
Actions:
History | Blob | Raw File
  1 e29dbd72 2021-01-23 op /*

  2 1a49166d 2021-01-23 op  * Copyright (c) 2021 Omar Polo <op@omarpolo.com>

  3 e29dbd72 2021-01-23 op  *

  4 e29dbd72 2021-01-23 op  * Permission to use, copy, modify, and distribute this software for any

  5 e29dbd72 2021-01-23 op  * purpose with or without fee is hereby granted, provided that the above

  6 e29dbd72 2021-01-23 op  * copyright notice and this permission notice appear in all copies.

  7 e29dbd72 2021-01-23 op  *

  8 e29dbd72 2021-01-23 op  * THE SOFTWARE IS PROVIDED "AS IS" AND THE AUTHOR DISCLAIMS ALL WARRANTIES

  9 e29dbd72 2021-01-23 op  * WITH REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF

 10 e29dbd72 2021-01-23 op  * MERCHANTABILITY AND FITNESS. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR

 11 e29dbd72 2021-01-23 op  * ANY SPECIAL, DIRECT, INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES

 12 e29dbd72 2021-01-23 op  * WHATSOEVER RESULTING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN AN

 13 e29dbd72 2021-01-23 op  * ACTION OF CONTRACT, NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF

 14 e29dbd72 2021-01-23 op  * OR IN CONNECTION WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.

 15 e29dbd72 2021-01-23 op  */

 16 e29dbd72 2021-01-23 op 

 17 dafb57b8 2021-01-15 op #include "gmid.h"

 18 dafb57b8 2021-01-15 op 

 19 dafb57b8 2021-01-15 op #if defined(__FreeBSD__)

 20 dafb57b8 2021-01-15 op 

 21 dafb57b8 2021-01-15 op #include <sys/capsicum.h>

 22 dafb57b8 2021-01-15 op #include <err.h>

 23 dafb57b8 2021-01-15 op 

 24 dafb57b8 2021-01-15 op void

 25 dafb57b8 2021-01-15 op sandbox()

 26 dafb57b8 2021-01-15 op {

 27 dafb57b8 2021-01-15 op 	if (cap_enter() == -1)

 28 dafb57b8 2021-01-15 op 		err(1, "cap_enter");

 29 dafb57b8 2021-01-15 op }

 30 dafb57b8 2021-01-15 op 

 31 dafb57b8 2021-01-15 op #elif defined(__linux__)

 32 dafb57b8 2021-01-15 op 

 33 71b7eb2f 2021-01-17 op #include <sys/prctl.h>

 34 71b7eb2f 2021-01-17 op #include <sys/syscall.h>

 35 71b7eb2f 2021-01-17 op #include <sys/syscall.h>

 36 71b7eb2f 2021-01-17 op #include <sys/types.h>

 37 71b7eb2f 2021-01-17 op 

 38 71b7eb2f 2021-01-17 op #include <linux/audit.h>

 39 71b7eb2f 2021-01-17 op #include <linux/filter.h>

 40 71b7eb2f 2021-01-17 op #include <linux/seccomp.h>

 41 71b7eb2f 2021-01-17 op 

 42 71b7eb2f 2021-01-17 op #include <errno.h>

 43 3c0375e4 2021-01-20 op #include <fcntl.h>

 44 71b7eb2f 2021-01-17 op #include <stddef.h>

 45 71b7eb2f 2021-01-17 op #include <stdio.h>

 46 71b7eb2f 2021-01-17 op #include <string.h>

 47 71b7eb2f 2021-01-17 op 

 48 71b7eb2f 2021-01-17 op /* thanks chromium' src/seccomp.c */

 49 71b7eb2f 2021-01-17 op #if defined(__i386__)

 50 71b7eb2f 2021-01-17 op #  define SECCOMP_AUDIT_ARCH AUDIT_ARCH_I386

 51 71b7eb2f 2021-01-17 op #elif defined(__x86_64__)

 52 71b7eb2f 2021-01-17 op #  define SECCOMP_AUDIT_ARCH AUDIT_ARCH_X86_64

 53 71b7eb2f 2021-01-17 op #elif defined(__arm__)

 54 71b7eb2f 2021-01-17 op #  define SECCOMP_AUDIT_ARCH AUDIT_ARCH_ARM

 55 71b7eb2f 2021-01-17 op #elif defined(__aarch64__)

 56 71b7eb2f 2021-01-17 op #  define SECCOMP_AUDIT_ARCH AUDIT_ARCH_AARCH64

 57 71b7eb2f 2021-01-17 op #elif defined(__mips__)

 58 71b7eb2f 2021-01-17 op #  if defined(__mips64)

 59 71b7eb2f 2021-01-17 op #    if defined(__MIPSEB__)

 60 71b7eb2f 2021-01-17 op #      define SECCOMP_AUDIT_ARCH AUDIT_ARCH_MIPS64

 61 71b7eb2f 2021-01-17 op #    else

 62 71b7eb2f 2021-01-17 op #      define SECCOMP_AUDIT_ARCH AUDIT_ARCH_MIPSEL64

 63 71b7eb2f 2021-01-17 op #    endif

 64 71b7eb2f 2021-01-17 op #  else

 65 71b7eb2f 2021-01-17 op #    if defined(__MIPSEB__)

 66 71b7eb2f 2021-01-17 op #      define SECCOMP_AUDIT_ARCH AUDIT_ARCH_MIPS

 67 71b7eb2f 2021-01-17 op #    else

 68 71b7eb2f 2021-01-17 op #      define SECCOMP_AUDIT_ARCH AUDIT_ARCH_MIPSEL

 69 71b7eb2f 2021-01-17 op #    endif

 70 71b7eb2f 2021-01-17 op #  endif

 71 71b7eb2f 2021-01-17 op #else

 72 71b7eb2f 2021-01-17 op #  error "Platform does not support seccomp filter yet"

 73 71b7eb2f 2021-01-17 op #endif

 74 71b7eb2f 2021-01-17 op 

 75 71b7eb2f 2021-01-17 op /* uncomment to enable debugging.  ONLY FOR DEVELOPMENT */

 76 71b7eb2f 2021-01-17 op /* #define SC_DEBUG */

 77 71b7eb2f 2021-01-17 op 

 78 71b7eb2f 2021-01-17 op #ifdef SC_DEBUG

 79 71b7eb2f 2021-01-17 op # define SC_FAIL SECCOMP_RET_TRAP

 80 71b7eb2f 2021-01-17 op #else

 81 71b7eb2f 2021-01-17 op # define SC_FAIL SECCOMP_RET_KILL

 82 71b7eb2f 2021-01-17 op #endif

 83 71b7eb2f 2021-01-17 op 

 84 71b7eb2f 2021-01-17 op /* make the filter more readable */

 85 71b7eb2f 2021-01-17 op #define SC_ALLOW(nr)						\

 86 71b7eb2f 2021-01-17 op 	BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_##nr, 0, 1),	\

 87 71b7eb2f 2021-01-17 op 	BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW)

 88 71b7eb2f 2021-01-17 op 

 89 71b7eb2f 2021-01-17 op #ifdef SC_DEBUG

 90 71b7eb2f 2021-01-17 op 

 91 71b7eb2f 2021-01-17 op #include <signal.h>

 92 71b7eb2f 2021-01-17 op #include <unistd.h>

 93 71b7eb2f 2021-01-17 op 

 94 71b7eb2f 2021-01-17 op static void

 95 71b7eb2f 2021-01-17 op sandbox_seccomp_violation(int signum, siginfo_t *info, void *ctx)

 96 71b7eb2f 2021-01-17 op {

 97 71b7eb2f 2021-01-17 op 	(void)signum;

 98 71b7eb2f 2021-01-17 op 	(void)ctx;

 99 71b7eb2f 2021-01-17 op 

100 71b7eb2f 2021-01-17 op 	fprintf(stderr, "%s: unexpected system call (arch:0x%x,syscall:%d @ %p)\n",

101 71b7eb2f 2021-01-17 op 	    __func__, info->si_arch, info->si_syscall, info->si_call_addr);

102 71b7eb2f 2021-01-17 op 	_exit(1);

103 71b7eb2f 2021-01-17 op }

104 71b7eb2f 2021-01-17 op 

105 71b7eb2f 2021-01-17 op static void

106 71b7eb2f 2021-01-17 op sandbox_seccomp_catch_sigsys(void)

107 71b7eb2f 2021-01-17 op {

108 71b7eb2f 2021-01-17 op 	struct sigaction act;

109 71b7eb2f 2021-01-17 op 	sigset_t mask;

110 71b7eb2f 2021-01-17 op 

111 71b7eb2f 2021-01-17 op 	memset(&act, 0, sizeof(act));

112 71b7eb2f 2021-01-17 op 	sigemptyset(&mask);

113 71b7eb2f 2021-01-17 op 	sigaddset(&mask, SIGSYS);

114 71b7eb2f 2021-01-17 op 

115 71b7eb2f 2021-01-17 op 	act.sa_sigaction = &sandbox_seccomp_violation;

116 71b7eb2f 2021-01-17 op 	act.sa_flags = SA_SIGINFO;

117 71b7eb2f 2021-01-17 op 	if (sigaction(SIGSYS, &act, NULL) == -1) {

118 71b7eb2f 2021-01-17 op 		fprintf(stderr, "%s: sigaction(SIGSYS): %s\n",

119 71b7eb2f 2021-01-17 op 		    __func__, strerror(errno));

120 71b7eb2f 2021-01-17 op 		exit(1);

121 71b7eb2f 2021-01-17 op 	}

122 71b7eb2f 2021-01-17 op 	if (sigprocmask(SIG_UNBLOCK, &mask, NULL) == -1) {

123 71b7eb2f 2021-01-17 op 		fprintf(stderr, "%s: sigprocmask(SIGSYS): %s\n",

124 71b7eb2f 2021-01-17 op 		    __func__, strerror(errno));

125 71b7eb2f 2021-01-17 op 		exit(1);

126 71b7eb2f 2021-01-17 op 	}

127 71b7eb2f 2021-01-17 op }

128 71b7eb2f 2021-01-17 op #endif	/* SC_DEBUG */

129 71b7eb2f 2021-01-17 op 

130 dafb57b8 2021-01-15 op void

131 dafb57b8 2021-01-15 op sandbox()

132 dafb57b8 2021-01-15 op {

133 71b7eb2f 2021-01-17 op 	struct sock_filter filter[] = {

134 71b7eb2f 2021-01-17 op 		/* load the *current* architecture */

135 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_LD | BPF_W | BPF_ABS,

136 71b7eb2f 2021-01-17 op 		    (offsetof(struct seccomp_data, arch))),

137 71b7eb2f 2021-01-17 op 		/* ensure it's the same that we've been compiled on */

138 71b7eb2f 2021-01-17 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K,

139 71b7eb2f 2021-01-17 op 		    SECCOMP_AUDIT_ARCH, 1, 0),

140 71b7eb2f 2021-01-17 op 		/* if not, kill the program */

141 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_RET | BPF_K, SC_FAIL),

142 71b7eb2f 2021-01-17 op 

143 71b7eb2f 2021-01-17 op 		/* load the syscall number */

144 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_LD | BPF_W | BPF_ABS,

145 71b7eb2f 2021-01-17 op 		    (offsetof(struct seccomp_data, nr))),

146 71b7eb2f 2021-01-17 op 

147 71b7eb2f 2021-01-17 op 		/* allow logging on stdout */

148 71b7eb2f 2021-01-17 op 		SC_ALLOW(write),

149 71b7eb2f 2021-01-17 op 		SC_ALLOW(writev),

150 71b7eb2f 2021-01-17 op 		SC_ALLOW(readv),

151 71b7eb2f 2021-01-17 op 

152 71b7eb2f 2021-01-17 op 		/* these are used to serve the files.  note how we

153 71b7eb2f 2021-01-17 op 		 * allow openat but not open. */

154 298e4b96 2021-01-20 op 

155 298e4b96 2021-01-20 op #ifdef __aarch64__

156 298e4b96 2021-01-20 op 		/* it seems that on aarch64 there isn't a poll(2)

157 298e4b96 2021-01-20 op 		 * syscall, but instead it's implemented on top of

158 298e4b96 2021-01-20 op 		 * ppoll(2). */

159 298e4b96 2021-01-20 op 		SC_ALLOW(ppoll),

160 298e4b96 2021-01-20 op #else

161 65fba1d5 2021-01-17 op 		SC_ALLOW(poll),

162 94a79035 2021-01-18 op #endif

163 71b7eb2f 2021-01-17 op 		SC_ALLOW(accept),

164 71b7eb2f 2021-01-17 op 		SC_ALLOW(read),

165 71b7eb2f 2021-01-17 op 		SC_ALLOW(openat),

166 71b7eb2f 2021-01-17 op 		SC_ALLOW(fstat),

167 71b7eb2f 2021-01-17 op 		SC_ALLOW(close),

168 71b7eb2f 2021-01-17 op 		SC_ALLOW(lseek),

169 71b7eb2f 2021-01-17 op 		SC_ALLOW(brk),

170 71b7eb2f 2021-01-17 op 		SC_ALLOW(mmap),

171 71b7eb2f 2021-01-17 op 		SC_ALLOW(munmap),

172 71b7eb2f 2021-01-17 op 

173 71b7eb2f 2021-01-17 op 		/* we need recvmsg to receive fd */

174 71b7eb2f 2021-01-17 op 		SC_ALLOW(recvmsg),

175 71b7eb2f 2021-01-17 op 

176 71b7eb2f 2021-01-17 op 		/* XXX: ??? */

177 71b7eb2f 2021-01-17 op 		SC_ALLOW(getpid),

178 71b7eb2f 2021-01-17 op 

179 f2b3a519 2021-01-20 op 		/* alpine on amd64 does a clock_gettime(2) */

180 f2b3a519 2021-01-20 op 		SC_ALLOW(clock_gettime),

181 f2b3a519 2021-01-20 op 

182 71b7eb2f 2021-01-17 op 		SC_ALLOW(exit),

183 71b7eb2f 2021-01-17 op 		SC_ALLOW(exit_group),

184 f2b3a519 2021-01-20 op 

185 f2b3a519 2021-01-20 op 		/* allow only F_GETFL and F_SETFL fcntl */

186 3c0375e4 2021-01-20 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_fcntl, 0, 6),

187 de4f7131 2021-01-20 op 		BPF_STMT(BPF_LD  | BPF_W | BPF_ABS,

188 3c0375e4 2021-01-20 op 		    (offsetof(struct seccomp_data, args[1]))),

189 3c0375e4 2021-01-20 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, F_GETFL, 0, 1),

190 3c0375e4 2021-01-20 op 		BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),

191 3c0375e4 2021-01-20 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, F_SETFL, 0, 1),

192 3c0375e4 2021-01-20 op 		BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),

193 3c0375e4 2021-01-20 op 		BPF_STMT(BPF_RET | BPF_K, SC_FAIL),

194 61f8d630 2021-01-20 op 

195 f2b3a519 2021-01-20 op 		/* re-load the syscall number */

196 de4f7131 2021-01-20 op 		BPF_STMT(BPF_LD | BPF_W | BPF_ABS,

197 de4f7131 2021-01-20 op 		    (offsetof(struct seccomp_data, nr))),

198 de4f7131 2021-01-20 op 

199 71b7eb2f 2021-01-17 op 		/* allow ioctl but only on fd 1, glibc doing stuff? */

200 71b7eb2f 2021-01-17 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_ioctl, 0, 3),

201 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_LD | BPF_W | BPF_ABS,

202 71b7eb2f 2021-01-17 op 		    (offsetof(struct seccomp_data, args[0]))),

203 71b7eb2f 2021-01-17 op 		BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, 1, 0, 1),

204 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),

205 71b7eb2f 2021-01-17 op 

206 71b7eb2f 2021-01-17 op 		/* disallow enything else */

207 71b7eb2f 2021-01-17 op 		BPF_STMT(BPF_RET | BPF_K, SC_FAIL),

208 71b7eb2f 2021-01-17 op 	};

209 71b7eb2f 2021-01-17 op 

210 71b7eb2f 2021-01-17 op 	struct sock_fprog prog = {

211 71b7eb2f 2021-01-17 op 		.len = (unsigned short) (sizeof(filter) / sizeof(filter[0])),

212 71b7eb2f 2021-01-17 op 		.filter = filter,

213 71b7eb2f 2021-01-17 op 	};

214 71b7eb2f 2021-01-17 op 

215 71b7eb2f 2021-01-17 op #ifdef SC_DEBUG

216 71b7eb2f 2021-01-17 op 	sandbox_seccomp_catch_sigsys();

217 71b7eb2f 2021-01-17 op #endif

218 71b7eb2f 2021-01-17 op 

219 71b7eb2f 2021-01-17 op 	if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0) == -1) {

220 71b7eb2f 2021-01-17 op 		fprintf(stderr, "%s: prctl(PR_SET_NO_NEW_PRIVS): %s\n",

221 71b7eb2f 2021-01-17 op 		    __func__, strerror(errno));

222 71b7eb2f 2021-01-17 op 		exit(1);

223 71b7eb2f 2021-01-17 op 	}

224 71b7eb2f 2021-01-17 op 

225 71b7eb2f 2021-01-17 op 	if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &prog) == -1) {

226 71b7eb2f 2021-01-17 op 		fprintf(stderr, "%s: prctl(PR_SET_SECCOMP): %s\n",

227 71b7eb2f 2021-01-17 op 		    __func__, strerror(errno));

228 71b7eb2f 2021-01-17 op 		exit(1);

229 71b7eb2f 2021-01-17 op 	}

230 dafb57b8 2021-01-15 op }

231 dafb57b8 2021-01-15 op 

232 dafb57b8 2021-01-15 op #elif defined(__OpenBSD__)

233 dafb57b8 2021-01-15 op 

234 dafb57b8 2021-01-15 op #include <err.h>

235 dafb57b8 2021-01-15 op #include <unistd.h>

236 dafb57b8 2021-01-15 op 

237 dafb57b8 2021-01-15 op void

238 dafb57b8 2021-01-15 op sandbox()

239 dafb57b8 2021-01-15 op {

240 dafb57b8 2021-01-15 op 	struct vhost *h;

241 dafb57b8 2021-01-15 op 

242 dafb57b8 2021-01-15 op 	for (h = hosts; h->domain != NULL; ++h) {

243 dafb57b8 2021-01-15 op 		if (unveil(h->dir, "rx") == -1)

244 dafb57b8 2021-01-15 op 			err(1, "unveil %s for domain %s", h->dir, h->domain);

245 dafb57b8 2021-01-15 op 	}

246 dafb57b8 2021-01-15 op 

247 881a9dd9 2021-01-16 op 	if (pledge("stdio recvfd rpath inet", NULL) == -1)

248 dafb57b8 2021-01-15 op 		err(1, "pledge");

249 dafb57b8 2021-01-15 op }

250 dafb57b8 2021-01-15 op 

251 dafb57b8 2021-01-15 op #else

252 dafb57b8 2021-01-15 op 

253 dafb57b8 2021-01-15 op void

254 dafb57b8 2021-01-15 op sandbox()

255 dafb57b8 2021-01-15 op {

256 dafb57b8 2021-01-15 op         LOGN(NULL, "%s", "no sandbox method known for this OS");

257 dafb57b8 2021-01-15 op }

258 dafb57b8 2021-01-15 op 

259 dafb57b8 2021-01-15 op #endif