security/device_cgroup.c

   1 /*
   2  * device_cgroup.c - device cgroup subsystem
   3  *
   4  * Copyright 2007 IBM Corp
   5  */
   6
   7 #include <linux/device_cgroup.h>
   8 #include <linux/cgroup.h>
   9 #include <linux/ctype.h>
  10 #include <linux/list.h>
  11 #include <linux/uaccess.h>
  12 #include <linux/seq_file.h>
  13 #include <linux/slab.h>
  14 #include <linux/rcupdate.h>
  15 #include <linux/mutex.h>
  16
  17 #define ACC_MKNOD 1
  18 #define ACC_READ  2
  19 #define ACC_WRITE 4
  20 #define ACC_MASK (ACC_MKNOD | ACC_READ | ACC_WRITE)
  21
  22 #define DEV_BLOCK 1
  23 #define DEV_CHAR  2
  24 #define DEV_ALL   4  /* this represents all devices */
  25
  26 static DEFINE_MUTEX(devcgroup_mutex);
  27
  28 /*
  29  * exception list locking rules:
  30  * hold devcgroup_mutex for update/read.
  31  * hold rcu_read_lock() for read.
  32  */
  33
  34 struct dev_exception_item {
  35         u32 major, minor;
  36         short type;
  37         short access;
  38         struct list_head list;
  39         struct rcu_head rcu;
  40 };
  41
  42 struct dev_cgroup {
  43         struct cgroup_subsys_state css;
  44         struct list_head exceptions;
  45         enum {
  46                 DEVCG_DEFAULT_ALLOW,
  47                 DEVCG_DEFAULT_DENY,
  48         } behavior;
  49 };
  50
  51 static inline struct dev_cgroup *css_to_devcgroup(struct cgroup_subsys_state *s)
  52 {
  53         return container_of(s, struct dev_cgroup, css);
  54 }
  55
  56 static inline struct dev_cgroup *cgroup_to_devcgroup(struct cgroup *cgroup)
  57 {
  58         return css_to_devcgroup(cgroup_subsys_state(cgroup, devices_subsys_id));
  59 }
  60
  61 static inline struct dev_cgroup *task_devcgroup(struct task_struct *task)
  62 {
  63         return css_to_devcgroup(task_subsys_state(task, devices_subsys_id));
  64 }
  65
  66 struct cgroup_subsys devices_subsys;
  67
  68 static int devcgroup_can_attach(struct cgroup *new_cgrp,
  69                                 struct cgroup_taskset *set)
  70 {
  71         struct task_struct *task = cgroup_taskset_first(set);
  72
  73         if (current != task && !capable(CAP_SYS_ADMIN))
  74                 return -EPERM;
  75         return 0;
  76 }
  77
  78 /*
  79  * called under devcgroup_mutex
  80  */
  81 static int dev_exceptions_copy(struct list_head *dest, struct list_head *orig)
  82 {
  83         struct dev_exception_item *ex, *tmp, *new;
  84
  85         list_for_each_entry(ex, orig, list) {
  86                 new = kmemdup(ex, sizeof(*ex), GFP_KERNEL);
  87                 if (!new)
  88                         goto free_and_exit;
  89                 list_add_tail(&new->list, dest);
  90         }
  91
  92         return 0;
  93
  94 free_and_exit:
  95         list_for_each_entry_safe(ex, tmp, dest, list) {
  96                 list_del(&ex->list);
  97                 kfree(ex);
  98         }
  99         return -ENOMEM;
 100 }
 101
 102 /*
 103  * called under devcgroup_mutex
 104  */
 105 static int dev_exception_add(struct dev_cgroup *dev_cgroup,
 106                              struct dev_exception_item *ex)
 107 {
 108         struct dev_exception_item *excopy, *walk;
 109
 110         excopy = kmemdup(ex, sizeof(*ex), GFP_KERNEL);
 111         if (!excopy)
 112                 return -ENOMEM;
 113
 114         list_for_each_entry(walk, &dev_cgroup->exceptions, list) {
 115                 if (walk->type != ex->type)
 116                         continue;
 117                 if (walk->major != ex->major)
 118                         continue;
 119                 if (walk->minor != ex->minor)
 120                         continue;
 121
 122                 walk->access |= ex->access;
 123                 kfree(excopy);
 124                 excopy = NULL;
 125         }
 126
 127         if (excopy != NULL)
 128                 list_add_tail_rcu(&excopy->list, &dev_cgroup->exceptions);
 129         return 0;
 130 }
 131
 132 /*
 133  * called under devcgroup_mutex
 134  */
 135 static void dev_exception_rm(struct dev_cgroup *dev_cgroup,
 136                              struct dev_exception_item *ex)
 137 {
 138         struct dev_exception_item *walk, *tmp;
 139
 140         list_for_each_entry_safe(walk, tmp, &dev_cgroup->exceptions, list) {
 141                 if (walk->type != ex->type)
 142                         continue;
 143                 if (walk->major != ex->major)
 144                         continue;
 145                 if (walk->minor != ex->minor)
 146                         continue;
 147
 148                 walk->access &= ~ex->access;
 149                 if (!walk->access) {
 150                         list_del_rcu(&walk->list);
 151                         kfree_rcu(walk, rcu);
 152                 }
 153         }
 154 }
 155
 156 /**
 157  * dev_exception_clean - frees all entries of the exception list
 158  * @dev_cgroup: dev_cgroup with the exception list to be cleaned
 159  *
 160  * called under devcgroup_mutex
 161  */
 162 static void dev_exception_clean(struct dev_cgroup *dev_cgroup)
 163 {
 164         struct dev_exception_item *ex, *tmp;
 165
 166         list_for_each_entry_safe(ex, tmp, &dev_cgroup->exceptions, list) {
 167                 list_del(&ex->list);
 168                 kfree(ex);
 169         }
 170 }
 171
 172 /*
 173  * called from kernel/cgroup.c with cgroup_lock() held.
 174  */
 175 static struct cgroup_subsys_state *devcgroup_create(struct cgroup *cgroup)
 176 {
 177         struct dev_cgroup *dev_cgroup, *parent_dev_cgroup;
 178         struct cgroup *parent_cgroup;
 179         int ret;
 180
 181         dev_cgroup = kzalloc(sizeof(*dev_cgroup), GFP_KERNEL);
 182         if (!dev_cgroup)
 183                 return ERR_PTR(-ENOMEM);
 184         INIT_LIST_HEAD(&dev_cgroup->exceptions);
 185         parent_cgroup = cgroup->parent;
 186
 187         if (parent_cgroup == NULL)
 188                 dev_cgroup->behavior = DEVCG_DEFAULT_ALLOW;
 189         else {
 190                 parent_dev_cgroup = cgroup_to_devcgroup(parent_cgroup);
 191                 mutex_lock(&devcgroup_mutex);
 192                 ret = dev_exceptions_copy(&dev_cgroup->exceptions,
 193                                           &parent_dev_cgroup->exceptions);
 194                 dev_cgroup->behavior = parent_dev_cgroup->behavior;
 195                 mutex_unlock(&devcgroup_mutex);
 196                 if (ret) {
 197                         kfree(dev_cgroup);
 198                         return ERR_PTR(ret);
 199                 }
 200         }
 201
 202         return &dev_cgroup->css;
 203 }
 204
 205 static void devcgroup_destroy(struct cgroup *cgroup)
 206 {
 207         struct dev_cgroup *dev_cgroup;
 208
 209         dev_cgroup = cgroup_to_devcgroup(cgroup);
 210         dev_exception_clean(dev_cgroup);
 211         kfree(dev_cgroup);
 212 }
 213
 214 #define DEVCG_ALLOW 1
 215 #define DEVCG_DENY 2
 216 #define DEVCG_LIST 3
 217
 218 #define MAJMINLEN 13
 219 #define ACCLEN 4
 220
 221 static void set_access(char *acc, short access)
 222 {
 223         int idx = 0;
 224         memset(acc, 0, ACCLEN);
 225         if (access & ACC_READ)
 226                 acc[idx++] = 'r';
 227         if (access & ACC_WRITE)
 228                 acc[idx++] = 'w';
 229         if (access & ACC_MKNOD)
 230                 acc[idx++] = 'm';
 231 }
 232
 233 static char type_to_char(short type)
 234 {
 235         if (type == DEV_ALL)
 236                 return 'a';
 237         if (type == DEV_CHAR)
 238                 return 'c';
 239         if (type == DEV_BLOCK)
 240                 return 'b';
 241         return 'X';
 242 }
 243
 244 static void set_majmin(char *str, unsigned m)
 245 {
 246         if (m == ~0)
 247                 strcpy(str, "*");
 248         else
 249                 sprintf(str, "%u", m);
 250 }
 251
 252 static int devcgroup_seq_read(struct cgroup *cgroup, struct cftype *cft,
 253                                 struct seq_file *m)
 254 {
 255         struct dev_cgroup *devcgroup = cgroup_to_devcgroup(cgroup);
 256         struct dev_exception_item *ex;
 257         char maj[MAJMINLEN], min[MAJMINLEN], acc[ACCLEN];
 258
 259         rcu_read_lock();
 260         /*
 261          * To preserve the compatibility:
 262          * - Only show the "all devices" when the default policy is to allow
 263          * - List the exceptions in case the default policy is to deny
 264          * This way, the file remains as a "whitelist of devices"
 265          */
 266         if (devcgroup->behavior == DEVCG_DEFAULT_ALLOW) {
 267                 set_access(acc, ACC_MASK);
 268                 set_majmin(maj, ~0);
 269                 set_majmin(min, ~0);
 270                 seq_printf(m, "%c %s:%s %s\n", type_to_char(DEV_ALL),
 271                            maj, min, acc);
 272         } else {
 273                 list_for_each_entry_rcu(ex, &devcgroup->exceptions, list) {
 274                         set_access(acc, ex->access);
 275                         set_majmin(maj, ex->major);
 276                         set_majmin(min, ex->minor);
 277                         seq_printf(m, "%c %s:%s %s\n", type_to_char(ex->type),
 278                                    maj, min, acc);
 279                 }
 280         }
 281         rcu_read_unlock();
 282
 283         return 0;
 284 }
 285
 286 /**
 287  * may_access - verifies if a new exception is part of what is allowed
 288  *              by a dev cgroup based on the default policy +
 289  *              exceptions. This is used to make sure a child cgroup
 290  *              won't have more privileges than its parent or to
 291  *              verify if a certain access is allowed.
 292  * @dev_cgroup: dev cgroup to be tested against
 293  * @refex: new exception
 294  */
 295 static int may_access(struct dev_cgroup *dev_cgroup,
 296                       struct dev_exception_item *refex)
 297 {
 298         struct dev_exception_item *ex;
 299         bool match = false;
 300
 301         list_for_each_entry(ex, &dev_cgroup->exceptions, list) {
 302                 if ((refex->type & DEV_BLOCK) && !(ex->type & DEV_BLOCK))
 303                         continue;
 304                 if ((refex->type & DEV_CHAR) && !(ex->type & DEV_CHAR))
 305                         continue;
 306                 if (ex->major != ~0 && ex->major != refex->major)
 307                         continue;
 308                 if (ex->minor != ~0 && ex->minor != refex->minor)
 309                         continue;
 310                 if (refex->access & (~ex->access))
 311                         continue;
 312                 match = true;
 313                 break;
 314         }
 315
 316         /*
 317          * In two cases we'll consider this new exception valid:
 318          * - the dev cgroup has its default policy to allow + exception list:
 319          *   the new exception should *not* match any of the exceptions
 320          *   (behavior == DEVCG_DEFAULT_ALLOW, !match)
 321          * - the dev cgroup has its default policy to deny + exception list:
 322          *   the new exception *should* match the exceptions
 323          *   (behavior == DEVCG_DEFAULT_DENY, match)
 324          */
 325         if ((dev_cgroup->behavior == DEVCG_DEFAULT_DENY) == match)
 326                 return 1;
 327         return 0;
 328 }
 329
 330 /*
 331  * parent_has_perm:
 332  * when adding a new allow rule to a device exception list, the rule
 333  * must be allowed in the parent device
 334  */
 335 static int parent_has_perm(struct dev_cgroup *childcg,
 336                                   struct dev_exception_item *ex)
 337 {
 338         struct cgroup *pcg = childcg->css.cgroup->parent;
 339         struct dev_cgroup *parent;
 340
 341         if (!pcg)
 342                 return 1;
 343         parent = cgroup_to_devcgroup(pcg);
 344         return may_access(parent, ex);
 345 }
 346
 347 /*
 348  * Modify the exception list using allow/deny rules.
 349  * CAP_SYS_ADMIN is needed for this.  It's at least separate from CAP_MKNOD
 350  * so we can give a container CAP_MKNOD to let it create devices but not
 351  * modify the exception list.
 352  * It seems likely we'll want to add a CAP_CONTAINER capability to allow
 353  * us to also grant CAP_SYS_ADMIN to containers without giving away the
 354  * device exception list controls, but for now we'll stick with CAP_SYS_ADMIN
 355  *
 356  * Taking rules away is always allowed (given CAP_SYS_ADMIN).  Granting
 357  * new access is only allowed if you're in the top-level cgroup, or your
 358  * parent cgroup has the access you're asking for.
 359  */
 360 static int devcgroup_update_access(struct dev_cgroup *devcgroup,
 361                                    int filetype, const char *buffer)
 362 {
 363         const char *b;
 364         char *endp;
 365         int count;
 366         struct dev_exception_item ex;
 367
 368         if (!capable(CAP_SYS_ADMIN))
 369                 return -EPERM;
 370
 371         memset(&ex, 0, sizeof(ex));
 372         b = buffer;
 373
 374         switch (*b) {
 375         case 'a':
 376                 switch (filetype) {
 377                 case DEVCG_ALLOW:
 378                         if (!parent_has_perm(devcgroup, &ex))
 379                                 return -EPERM;
 380                         dev_exception_clean(devcgroup);
 381                         devcgroup->behavior = DEVCG_DEFAULT_ALLOW;
 382                         break;
 383                 case DEVCG_DENY:
 384                         dev_exception_clean(devcgroup);
 385                         devcgroup->behavior = DEVCG_DEFAULT_DENY;
 386                         break;
 387                 default:
 388                         return -EINVAL;
 389                 }
 390                 return 0;
 391         case 'b':
 392                 ex.type = DEV_BLOCK;
 393                 break;
 394         case 'c':
 395                 ex.type = DEV_CHAR;
 396                 break;
 397         default:
 398                 return -EINVAL;
 399         }
 400         b++;
 401         if (!isspace(*b))
 402                 return -EINVAL;
 403         b++;
 404         if (*b == '*') {
 405                 ex.major = ~0;
 406                 b++;
 407         } else if (isdigit(*b)) {
 408                 ex.major = simple_strtoul(b, &endp, 10);
 409                 b = endp;
 410         } else {
 411                 return -EINVAL;
 412         }
 413         if (*b != ':')
 414                 return -EINVAL;
 415         b++;
 416
 417         /* read minor */
 418         if (*b == '*') {
 419                 ex.minor = ~0;
 420                 b++;
 421         } else if (isdigit(*b)) {
 422                 ex.minor = simple_strtoul(b, &endp, 10);
 423                 b = endp;
 424         } else {
 425                 return -EINVAL;
 426         }
 427         if (!isspace(*b))
 428                 return -EINVAL;
 429         for (b++, count = 0; count < 3; count++, b++) {
 430                 switch (*b) {
 431                 case 'r':
 432                         ex.access |= ACC_READ;
 433                         break;
 434                 case 'w':
 435                         ex.access |= ACC_WRITE;
 436                         break;
 437                 case 'm':
 438                         ex.access |= ACC_MKNOD;
 439                         break;
 440                 case '\n':
 441                 case '\0':
 442                         count = 3;
 443                         break;
 444                 default:
 445                         return -EINVAL;
 446                 }
 447         }
 448
 449         switch (filetype) {
 450         case DEVCG_ALLOW:
 451                 if (!parent_has_perm(devcgroup, &ex))
 452                         return -EPERM;
 453                 /*
 454                  * If the default policy is to allow by default, try to remove
 455                  * an matching exception instead. And be silent about it: we
 456                  * don't want to break compatibility
 457                  */
 458                 if (devcgroup->behavior == DEVCG_DEFAULT_ALLOW) {
 459                         dev_exception_rm(devcgroup, &ex);
 460                         return 0;
 461                 }
 462                 return dev_exception_add(devcgroup, &ex);
 463         case DEVCG_DENY:
 464                 /*
 465                  * If the default policy is to deny by default, try to remove
 466                  * an matching exception instead. And be silent about it: we
 467                  * don't want to break compatibility
 468                  */
 469                 if (devcgroup->behavior == DEVCG_DEFAULT_DENY) {
 470                         dev_exception_rm(devcgroup, &ex);
 471                         return 0;
 472                 }
 473                 return dev_exception_add(devcgroup, &ex);
 474         default:
 475                 return -EINVAL;
 476         }
 477         return 0;
 478 }
 479
 480 static int devcgroup_access_write(struct cgroup *cgrp, struct cftype *cft,
 481                                   const char *buffer)
 482 {
 483         int retval;
 484
 485         mutex_lock(&devcgroup_mutex);
 486         retval = devcgroup_update_access(cgroup_to_devcgroup(cgrp),
 487                                          cft->private, buffer);
 488         mutex_unlock(&devcgroup_mutex);
 489         return retval;
 490 }
 491
 492 static struct cftype dev_cgroup_files[] = {
 493         {
 494                 .name = "allow",
 495                 .write_string  = devcgroup_access_write,
 496                 .private = DEVCG_ALLOW,
 497         },
 498         {
 499                 .name = "deny",
 500                 .write_string = devcgroup_access_write,
 501                 .private = DEVCG_DENY,
 502         },
 503         {
 504                 .name = "list",
 505                 .read_seq_string = devcgroup_seq_read,
 506                 .private = DEVCG_LIST,
 507         },
 508         { }     /* terminate */
 509 };
 510
 511 struct cgroup_subsys devices_subsys = {
 512         .name = "devices",
 513         .can_attach = devcgroup_can_attach,
 514         .create = devcgroup_create,
 515         .destroy = devcgroup_destroy,
 516         .subsys_id = devices_subsys_id,
 517         .base_cftypes = dev_cgroup_files,
 518
 519         /*
 520          * While devices cgroup has the rudimentary hierarchy support which
 521          * checks the parent's restriction, it doesn't properly propagates
 522          * config changes in ancestors to their descendents.  A child
 523          * should only be allowed to add more restrictions to the parent's
 524          * configuration.  Fix it and remove the following.
 525          */
 526         .broken_hierarchy = true,
 527 };
 528
 529 /**
 530  * __devcgroup_check_permission - checks if an inode operation is permitted
 531  * @dev_cgroup: the dev cgroup to be tested against
 532  * @type: device type
 533  * @major: device major number
 534  * @minor: device minor number
 535  * @access: combination of ACC_WRITE, ACC_READ and ACC_MKNOD
 536  *
 537  * returns 0 on success, -EPERM case the operation is not permitted
 538  */
 539 static int __devcgroup_check_permission(short type, u32 major, u32 minor,
 540                                         short access)
 541 {
 542         struct dev_cgroup *dev_cgroup;
 543         struct dev_exception_item ex;
 544         int rc;
 545
 546         memset(&ex, 0, sizeof(ex));
 547         ex.type = type;
 548         ex.major = major;
 549         ex.minor = minor;
 550         ex.access = access;
 551
 552         rcu_read_lock();
 553         dev_cgroup = task_devcgroup(current);
 554         rc = may_access(dev_cgroup, &ex);
 555         rcu_read_unlock();
 556
 557         if (!rc)
 558                 return -EPERM;
 559
 560         return 0;
 561 }
 562
 563 int __devcgroup_inode_permission(struct inode *inode, int mask)
 564 {
 565         short type, access = 0;
 566
 567         if (S_ISBLK(inode->i_mode))
 568                 type = DEV_BLOCK;
 569         if (S_ISCHR(inode->i_mode))
 570                 type = DEV_CHAR;
 571         if (mask & MAY_WRITE)
 572                 access |= ACC_WRITE;
 573         if (mask & MAY_READ)
 574                 access |= ACC_READ;
 575
 576         return __devcgroup_check_permission(type, imajor(inode), iminor(inode),
 577                         access);
 578 }
 579
 580 int devcgroup_inode_mknod(int mode, dev_t dev)
 581 {
 582         short type;
 583
 584         if (!S_ISBLK(mode) && !S_ISCHR(mode))
 585                 return 0;
 586
 587         if (S_ISBLK(mode))
 588                 type = DEV_BLOCK;
 589         else
 590                 type = DEV_CHAR;
 591
 592         return __devcgroup_check_permission(type, MAJOR(dev), MINOR(dev),
 593                         ACC_MKNOD);
 594
 595 }