Properly handle shm_open validation. Fixes bug 16274.
[platform/upstream/glibc.git] / sysdeps / unix / sysv / linux / shm_open.c
index 713a471..7bb2874 100644 (file)
@@ -1,20 +1,19 @@
-/* Copyright (C) 2000 Free Software Foundation, Inc.
+/* Copyright (C) 2000-2013 Free Software Foundation, Inc.
    This file is part of the GNU C Library.
 
    The GNU C Library is free software; you can redistribute it and/or
-   modify it under the terms of the GNU Library General Public License as
-   published by the Free Software Foundation; either version 2 of the
-   License, or (at your option) any later version.
+   modify it under the terms of the GNU Lesser General Public
+   License as published by the Free Software Foundation; either
+   version 2.1 of the License, or (at your option) any later version.
 
    The GNU C Library is distributed in the hope that it will be useful,
    but WITHOUT ANY WARRANTY; without even the implied warranty of
    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the GNU
-   Library General Public License for more details.
+   Lesser General Public License for more details.
 
-   You should have received a copy of the GNU Library General Public
-   License along with the GNU C Library; see the file COPYING.LIB.  If not,
-   write to the Free Software Foundation, Inc., 59 Temple Place - Suite 330,
-   Boston, MA 02111-1307, USA.  */
+   You should have received a copy of the GNU Lesser General Public
+   License along with the GNU C Library; if not, see
+   <http://www.gnu.org/licenses/>.  */
 
 #include <errno.h>
 #include <fcntl.h>
@@ -29,6 +28,8 @@
 #include <bits/libc-lock.h>
 #include "linux_fsinfo.h"
 
+#include <kernel-features.h>
+
 
 /* Mount point of the shared memory filesystem.  */
 static struct
@@ -44,6 +45,11 @@ static const char defaultdir[] = "/dev/shm/";
 __libc_once_define (static, once);
 
 
+#if defined O_CLOEXEC && !defined __ASSUME_O_CLOEXEC
+static bool have_o_cloexec;
+#endif
+
+
 /* Determine where the shmfs is mounted (if at all).  */
 static void
 where_is_shmfs (void)
@@ -78,7 +84,9 @@ where_is_shmfs (void)
 
   /* Now read the entries.  */
   while ((mp = __getmntent_r (fp, &resmem, buf, sizeof buf)) != NULL)
-    if (strcmp (mp->mnt_type, "shm") == 0)
+    /* The original name is "shm" but this got changed in early Linux
+       2.4.x to "tmpfs".  */
+    if (strcmp (mp->mnt_type, "tmpfs") == 0)
       {
        /* Found it.  There might be more than one place where the
            filesystem is mounted but one is enough for us.  */
@@ -140,44 +148,68 @@ shm_open (const char *name, int oflag, mode_t mode)
   while (name[0] == '/')
     ++name;
 
-  if (name[0] == '\0')
+  namelen = strlen (name);
+
+  /* Validate the filename.  */
+  if (name[0] == '\0' || namelen > NAME_MAX || strchr (name, '/') != NULL)
     {
-      /* The name "/" is not supported.  */
       __set_errno (EINVAL);
       return -1;
     }
 
-  namelen = strlen (name);
   fname = (char *) alloca (mountpoint.dirlen + namelen + 1);
   __mempcpy (__mempcpy (fname, mountpoint.dir, mountpoint.dirlen),
             name, namelen + 1);
 
+#ifdef O_CLOEXEC
+  oflag |= O_CLOEXEC;
+#endif
+
   /* And get the file descriptor.
      XXX Maybe we should test each descriptor whether it really is for a
      file on the shmfs.  If this is what should be done the whole function
      should be revamped since we can determine whether shmfs is available
      while trying to open the file, all in one turn.  */
-  fd = open (fname, oflag, mode);
+  fd = open (fname, oflag | O_NOFOLLOW, mode);
   if (fd != -1)
     {
-      /* We got a descriptor.  Now set the FD_CLOEXEC bit.  */
-      int flags = fcntl (fd, F_GETFD, 0);
-
-      if (__builtin_expect (flags, 0) >= 0)
-       {
-         flags |= FD_CLOEXEC;
-         flags = fcntl (fd, F_SETFD, flags);
-       }
-
-      if (flags == -1)
+#if !defined O_CLOEXEC || !defined __ASSUME_O_CLOEXEC
+# ifdef O_CLOEXEC
+      if (have_o_cloexec <= 0)
+# endif
        {
-         /* Something went wrong.  We cannot return the descriptor.  */
-         int save_errno = errno;
-         close (fd);
-         fd = -1;
-         __set_errno (save_errno);
+         /* We got a descriptor.  Now set the FD_CLOEXEC bit.  */
+         int flags = fcntl (fd, F_GETFD, 0);
+
+         if (__builtin_expect (flags, 0) >= 0)
+           {
+# ifdef O_CLOEXEC
+             if (have_o_cloexec == 0)
+               have_o_cloexec = (flags & FD_CLOEXEC) == 0 ? -1 : 1;
+             if (have_o_cloexec < 0)
+# endif
+               {
+                 flags |= FD_CLOEXEC;
+                 flags = fcntl (fd, F_SETFD, flags);
+               }
+           }
+
+         if (flags == -1)
+           {
+             /* Something went wrong.  We cannot return the descriptor.  */
+             int save_errno = errno;
+             close (fd);
+             fd = -1;
+             __set_errno (save_errno);
+           }
        }
+#endif
     }
+  else if (__builtin_expect (errno == EISDIR, 0))
+    /* It might be better to fold this error with EINVAL since
+       directory names are just another example for unsuitable shared
+       object names and the standard does not mention EISDIR.  */
+    __set_errno (EINVAL);
 
   return fd;
 }
@@ -206,35 +238,31 @@ shm_unlink (const char *name)
   while (name[0] == '/')
     ++name;
 
-  if (name[0] == '\0')
+  namelen = strlen (name);
+
+  /* Validate the filename.  */
+  if (name[0] == '\0' || namelen > NAME_MAX || strchr (name, '/') != NULL)
     {
-      /* The name "/" is not supported.  */
       __set_errno (ENOENT);
       return -1;
     }
 
-  namelen = strlen (name);
   fname = (char *) alloca (mountpoint.dirlen + namelen + 1);
   __mempcpy (__mempcpy (fname, mountpoint.dir, mountpoint.dirlen),
             name, namelen + 1);
 
-  /* And get the file descriptor.
-     XXX Maybe we should test each descriptor whether it really is for a
-     file on the shmfs.  If this is what should be done the whole function
-     should be revamped since we can determine whether shmfs is available
-     while trying to open the file, all in one turn.  */
-  return unlink (fname);
+  /* And remove the file.  */
+  int ret = unlink (fname);
+  if (ret < 0 && errno == EPERM)
+    __set_errno (EACCES);
+  return ret;
 }
 
 
-void
-freeit (void)
+/* Make sure the table is freed if we want to free everything before
+   exiting.  */
+libc_freeres_fn (freeit)
 {
   if (mountpoint.dir != defaultdir)
     free (mountpoint.dir);
 }
-
-
-/* Make sure the table is freed if we want to free everything before
-   exiting.  */
-text_set_element (__libc_subfreeres, freeit);