Deprecated PolkitBackendActionLookup

Instead, pass the untranslated message as polkit.message and set the
gettext domain on polkit.gettext_domain. For printf()-style messages,
occurences of the form $(name_of_key) in the translated version of
polkit.message are expanded with the value of the property
name_of_key. See the pkexec(1) mechanism for an example of how to use
this.

Additionally, the property polkit.icon_name can be set to the
icon. Note that not all authentication agents use this - in
particular, gnome-shell does not.

It is no longer possible to set the details to be shown in the
authentication dialog. It was never a good idea to hide information
there anyway. Instead, the mechanism should format a meaningful
message.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Allow overriding message shown in authentication dialog

This is much easier than writing a PolkitBackendActionLookup class and
installing an extension. On the downside it requires the caller to be
uid 0.

Example: http://people.freedesktop.org/~david/polkit-pass-messages.png

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 29712 – Use monotonic for temporary authorizations

https://bugs.freedesktop.org/show_bug.cgi?id=29712

Signed-off-by: David Zeuthen <davidz@redhat.com>

Be a bit more careful parsing the command-line

In particular, avoid crashing for Zombies

Signed-off-by: David Zeuthen <davidz@redhat.com>

pkcheck: Make it possible to list and revoke temporary authorizations

Signed-off-by: David Zeuthen <davidz@redhat.com>

Make pkcheck(1) report if the authentication dialog was dismissed

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 27253 – Use GOBJECT_INTROSPECTION_CHECK from gobject-introspection

https://bugs.freedesktop.org/show_bug.cgi?id=27253

Signed-off-by: David Zeuthen <davidz@redhat.com>

Be more specific about what info we want when enumerating files

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix a memory leak

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 32334 – Always set polkit.retains_authorization_after_challenge

Otherwise it's impossible to implement lock buttons.

https://bugs.freedesktop.org/show_bug.cgi?id=32334

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 30438 – PolicyKit fails to build on AIX

https://bugs.freedesktop.org/show_bug.cgi?id=30438

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 29871 – Fix build failures with binutils-gold

Link polkit_agent_helper_1 against GLIB_LIBS.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 27081 – pkexec fails to build on non glibc systems

https://bugs.freedesktop.org/show_bug.cgi?id=27081

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 30653 – No way to detect cancellation in pkexec

https://bugs.freedesktop.org/show_bug.cgi?id=30653

Signed-off-by: David Zeuthen <davidz@redhat.com>

Post-release version bump to 0.101

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix 'make distcheck'

Signed-off-by: David Zeuthen <davidz@redhat.com>

Update NEWS for release

Signed-off-by: David Zeuthen <davidz@redhat.com>

Pass caller and subject pid to authentication agent

The authentication agent can use information this to inform the user
about the UI application that triggered the authentication request (if
any).

Signed-off-by: David Zeuthen <davidz@redhat.com>

Add a note about POLKIT_DEBUG

Signed-off-by: David Zeuthen <davidz@redhat.com>

Always pass non-zero value to g_once_init_leave()

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix up debug and timeouts in agent helper

Signed-off-by: David Zeuthen <davidz@redhat.com>

Add some debug info that can be shown with the env var POLKIT_DEBUG

Signed-off-by: David Zeuthen <davidz@redhat.com>

Improve error reporting for authentication sessions

In particular ensure that we show

 Incorrect permissions on /opt/gnome-shell/install/libexec/polkit-agent-helper-1

as a PAM error message if the permissions on the helper are incorrect
(e.g. if the helper is not setuid root).

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix-up PolkitAgentSession to use GObject properties

Signed-off-by: David Zeuthen <davidz@redhat.com>

Build gir/typelib for PolkitAgent-1.0

Signed-off-by: David Zeuthen <davidz@redhat.com>

Add missing GObject Introspection annotations

Signed-off-by: David Zeuthen <davidz@redhat.com>

Post-release version bump to 0.100

Signed-off-by: David Zeuthen <davidz@redhat.com>

Update NEWS for release

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix another GCC uninitialized variable warning

Fix (correct) GCC warning about possibly-uninitialized variable

Signed-off-by: David Zeuthen <davidz@redhat.com>

Remove duplicate definitions of enumeration types

These are defined in polkitenumtypes.h, don't re-define them.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 29816 – Install polkitagentenumtypes.h

https://bugs.freedesktop.org/show_bug.cgi?id=29816

Signed-off-by: David Zeuthen <davidz@redhat.com>

Post-release version bump to 0.99

Signed-off-by: David Zeuthen <davidz@redhat.com>

Update NEWS for release

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix dist-check

Signed-off-by: David Zeuthen <davidz@redhat.com>

Various doc cleanups

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix wording in pkexec(1) man page

Signed-off-by: David Zeuthen <davidz@redhat.com>

pkcheck: add --enable-internal-agent option

We don't want this on by default because things like system daemons
(such as libvirtd) are using pkcheck(1) and in some unfortunate cases
these may have a tty attached.

Signed-off-by: David Zeuthen <davidz@redhat.com>

pkexec: add --disable-internal-agent option

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix ConsoleKit interaction bug

First of all, there was a glaring bug where we forgot to load the
GKeyFile for /var/run/ConsoleKit/database resulting in criticals like
this:

 (lt-polkitd:17984): GLib-CRITICAL **: g_key_file_get_boolean: assertion `key_file != NULL' failed
 (lt-polkitd:17984): GLib-CRITICAL **: g_key_file_get_boolean: assertion `key_file != NULL' failed

Furthermore, this resulted in the Authority returning "not authorized"
for subjects that should have been authorized. For an example, see

 https://bugzilla.redhat.com/show_bug.cgi?id=624125

Fix this bug by calling ensure_database() to make sure the GKeyFile
contains information from /var/run/ConsoleKit/database. Also, since
there is a race (theoretical at least, but see
https://bugzilla.gnome.org/show_bug.cgi?id=627285 ) with file
monitoring, also ensure that we are using the latest and greatest
version of /var/run/ConsoleKit/database.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Add textual authentication agent and use it in pkexec(1)

This makes pkexec(1) work when e.g. logging in via ssh(1) or the linux
console but also when using `su -'. Example:

 [davidz@x61 ~]$ su - bateman
 Password:
 [bateman@x61 ~]$ pkexec bash
 ==== AUTHENTICATING FOR org.freedesktop.policykit.exec ===
 Authentication is needed to run `/bin/bash' as the super user
 Authenticating as: root
 Password:
 ==== AUTHENTICATION COMPLETE ===
 [root@x61 ~]#

Summary of changes

 - Added a PolkitAgentTextListener class

 - Add new polkit_agent_listener_register() (and _unregister()) API

 - Deprecate polkit_agent_register_listener API

 - Allow registering authentication agents for PolkitUnixProcess subjects
   and prefer such agents to ones governing the session

 - Make PolkitAgentSession use the thread-default GMainContext - otherwise
   it won't work in spawned threads

 - (finally) use PolkitAgentTextListener in pkexec(1) if authorization
   via authentication is possible but no authentication agent was
   found

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix scanning of unix-process subjects

In particular accept both "unix-process:<pid>,<starttime>" and
"unix-process:<pid>". For the latter, return an error if we cannot
lookup the starttime (for example if the given pid references a
non-existing process).

Signed-off-by: David Zeuthen <davidz@redhat.com>

Require GLib 2.25.12

This was pointed out by Radek Novacek here

 http://lists.freedesktop.org/archives/polkit-devel/2010-August/000329.html

Signed-off-by: David Zeuthen <davidz@redhat.com>

Post-release version bump to 0.98

Signed-off-by: David Zeuthen <davidz@redhat.com>

Update NEWS for release

Signed-off-by: David Zeuthen <davidz@redhat.com>

Properly reference headers

Based on a patch from Jonathan Conder <j@skurvy.no-ip.org>, see
https://bugs.freedesktop.org/show_bug.cgi?id=25798

Signed-off-by: David Zeuthen <davidz@redhat.com>

Don't dist org.freedesktop.ConsoleKit.xml; It's dead, Jim

Signed-off-by: David Zeuthen <davidz@redhat.com>

Update GI annotations

Signed-off-by: David Zeuthen <davidz@redhat.com>

PolkitBackend: Don't export unneeded convenience API

No need to export these classes

 PolkitBackendActionPool
 PolkitBackendSessionMonitor
 PolkitBackendConfigSource
 PolkitBackendLocalAuthorizationStore

since exporting them means we need to support their API and ABI

Signed-off-by: David Zeuthen <davidz@redhat.com>

Use polkit_authority_get_sync() instead of deprecated polkit_authority_get()

Signed-off-by: David Zeuthen <davidz@redhat.com>

Add g_return_if_fail() to all public API entry points

Signed-off-by: David Zeuthen <davidz@redhat.com>

PolkitAuthority: Add g_return_if_fail() checks

Also fix a locking bug.

Signed-off-by: David Zeuthen <davidz@redhat.com>

PolkitAuthority: Implement failable initialization

... and deprecate polkit_authority_get(). Also fix up locking in
PolkitAuthority.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Add a GPermission implementation

Based on code from Matthias Clasen <mclasen@redhat.com>.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Merge remote branch 'origin/gdbus'

Update README

Signed-off-by: David Zeuthen <davidz@redhat.com>

Make NameOwnerChanged a private impl detail of the interactive authority

There's no need to expose this as public API.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Remove Lock Down functionality

This is better implemented as a separate set of extension to the local
authority. The only current known user, PolkitLockButton, will be
ported away from using these interfaces.

Since polkit still hasn't reached 1.0 this removal of functionality is
OK especially since the NEWS file has already wanred something like
this may happen.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Implement polkit_temporary_authorization_new_for_gvariant()

This is hit by the authentication agent in order to display a padlock
when temporary authorizations exist.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Make polkitd accept --replace and gracefully handle SIGINT

E.g. actually clean up everything before exiting. This makes it much
easier to chase memory leaks.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Nuke eggdbus usage

Signed-off-by: David Zeuthen <davidz@redhat.com>

Add generated docbook D-Bus API docs to git

When we switch away from eggdbus these will no longer be
autogenerated.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Port PolkitAgent to gdbus

Signed-off-by: David Zeuthen <davidz@redhat.com>

Port PolkitBackendInteractiveAuthority to gdbus

Signed-off-by: David Zeuthen <davidz@redhat.com>

Port CK class to gdbus

Also simplify the code it by using the on-disk database. Makes
everything a lot simpler.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Port core bits to gdbus

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 29051 – Configuration reload on every query

Set has_data to true after the data is loaded to prevent excessive
reloading of config files.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Add shadow support

Added support for the shadow authentication framework instead of PAM.
Enable it by passing --with-authfw=shadow to configure.

This is done by splitting the polkitagenthelper source into separate
parts, one that does auth with PAM, and another that does auth with
shadow, sharing functions where appropriate.

Also, all PAM-dependendent code in all other files has been #ifdef'd.
The only affected file is src/programs/pkexec.c

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 26982 – pkexec information disclosure vulnerability

pkexec is vulnerable to a minor information disclosure vulnerability
that allows an attacker to verify whether or not arbitrary files
exist, violating directory permissions. I reproduced the issue on my
Karmic installation as follows:

 $ mkdir secret
 $ sudo chown root:root secret
 $ sudo chmod 400 secret
 $ sudo touch secret/hidden
 $ pkexec /home/drosenbe/secret/hidden
 (password prompt)
 $ pkexec /home/drosenbe/secret/doesnotexist
 Error getting information about /home/drosenbe/secret/doesnotexist: No such
 file or directory

I've attached my patch for the issue. I replaced the stat() call
entirely with access() using F_OK, so rather than check that the
target exists, pkexec now checks if the user has permission to verify
the existence of the program. There might be another way of doing
this, such as chdir()'ing to the parent directory of the target and
calling lstat(), but this seemed like more code than necessary to
prevent such a minor problem.  I see no reason to allow pkexec to
execute targets that are not accessible to the executing user because
of directory permissions. This is such a limited use case anyway that
this doesn't really affect functionality.

http://bugs.freedesktop.org/show_bug.cgi?id=26982

Signed-off-by: David Zeuthen <davidz@redhat.com>

Post-release version bump to 0.97

We might change this to 1.0 if nothing big comes up!

Update NEWS for release

Don't log authorization checks

It's a little too verbose to do this. See

 http://lists.freedesktop.org/archives/polkit-devel/2009-December/000283.html

for the rationale.

Post-release version bump to 0.96

Complain on stderr, not stdout

Save original cwd in pkexec(1) since it will change during the life-time

Signed-off-by: David Zeuthen <davidz@redhat.com>

Make pkexec(1) use the syslogging facilities

Dec 15 13:48:05 localhost pkexec[29065]: davidz: Executing command [USER=root] [TTY=/dev/pts/8] [CWD=/root] [COMMAND=/usr/bin/pk-example-frobnicate]

Dec 15 13:49:30 localhost pkexec[29080]: davidz: The value for the SHELL variable was not found the /etc/shells file [USER=root] [TTY=/dev/pts/5] [CWD=/home/davidz] [COMMAND=/bin/bash]

Dec 15 13:49:45 localhost pkexec[29082]: davidz: The value for environment variable LC_ALL contains suscipious content [USER=root] [TTY=/dev/pts/5] [CWD=/home/davidz] [COMMAND=/bin/bash]

Dec 15 13:50:03 localhost pkexec[29086]: davidz: Error executing command as another user: Not authorized [USER=root] [TTY=/dev/pts/5] [CWD=/home/davidz] [COMMAND=/bin/bash]

Signed-off-by: David Zeuthen <davidz@redhat.com>

Make pkexec(1) validate environment variables

Suggested here

 http://lists.freedesktop.org/archives/polkit-devel/2009-December/000279.html

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix error message when no authentication agent is available

Signed-off-by: David Zeuthen <davidz@redhat.com>

Properly handle return value from getpwnam_r()

Pointed out by Kay Sievers - thanks!

Signed-off-by: David Zeuthen <davidz@redhat.com>

Remove trailing whitespace from log messages

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 25594 – System logging

For now we log the following events

1. Daemon startup -> /var/log/messages
--------------------------------------

Dec 11 15:12:56 localhost polkitd[3035]: started daemon version 0.95 using authority implementation `local' version `0.95'

2. Authentication agent -> /var/log/secure
------------------------------------------

Dec 11 15:14:00 localhost polkitd(authority=local): Registered Authentication Agent for session /org/freedesktop/ConsoleKit/Session1 (system bus name :1.903 [./polkit-gnome-authentication-agent-1], object path /org/gnome/PolicyKit1/AuthenticationAgent, locale en_US.UTF-8)

Dec 11 15:16:18 localhost polkitd(authority=local): Unregistered Authentication Agent for session /org/freedesktop/ConsoleKit/Session1 (system bus name :1.903, object path /org/gnome/PolicyKit1/AuthenticationAgent, locale en_US.UTF-8) (disconnected from bus)

3. Authorization checks
-----------------------

Dec 11 15:17:57 localhost polkitd(authority=local): ALLOWING action org.freedesktop.policykit.example.pkexec.run-frobnicate for unix-process:2517:25785526 [bash] owned by unix-user:davidz (check requested by system-bus-name::1.905 [pkexec /usr/bin/pk-example-frobnicate])

Dec 11 15:18:10 localhost polkitd(authority=local): ALLOWING action org.freedesktop.udisks.filesystem-mount-system-internal for system-bus-name::1.902 [palimpsest] owned by unix-user:davidz (check requested by system-bus-name::1.380 [/usr/libexec/udisks-daemon])

4. Authorizations through authentication (both success and
   failures) -> /var/log/secure
----------------------------------------------------------

Dec 11 15:19:01 localhost polkitd(authority=local): Operator of unix-session:/org/freedesktop/ConsoleKit/Session1 successfully authenticated as unix-user:davidz to gain TEMPORARY authorization for action org.freedesktop.policykit.example.pkexec.run-frobnicate for unix-process:2517:25785526 [bash] (owned by unix-user:davidz)
Dec 11 15:19:01 localhost polkitd(authority=local): ALLOWING action org.freedesktop.policykit.example.pkexec.run-frobnicate for unix-process:2517:25785526 [bash] owned by unix-user:davidz (check requested by system-bus-name::1.906 [pkexec /usr/bin/pk-example-frobnicate])

Dec 11 15:19:10 localhost polkitd(authority=local): Operator of unix-session:/org/freedesktop/ConsoleKit/Session1 successfully authenticated as unix-user:davidz to gain ONE-SHOT authorization for action org.freedesktop.policykit.exec for unix-process:2517:25785526 [bash] (owned by unix-user:davidz)
Dec 11 15:19:10 localhost polkitd(authority=local): ALLOWING action org.freedesktop.policykit.exec for unix-process:2517:25785526 [bash] owned by unix-user:davidz (check requested by system-bus-name::1.908 [pkexec bash])

Dec 11 15:19:10 localhost pkexec: pam_unix(polkit-1:session): session opened for user root by davidz(uid=500)
Dec 11 15:19:22 localhost polkitd(authority=local): Operator of unix-session:/org/freedesktop/ConsoleKit/Session1 FAILED to authenticate to gain authorization for action org.freedesktop.policykit.exec for unix-process:2517:25785526 [bash] (owned by unix-user:davidz)
Dec 11 15:19:22 localhost polkitd(authority=local): DENYING action org.freedesktop.policykit.exec for unix-process:2517:25785526 [bash] owned by unix-user:davidz (check requested by system-bus-name::1.910 [pkexec bash])

Dec 11 15:20:06 localhost polkitd(authority=local): Operator of unix-session:/org/freedesktop/ConsoleKit/Session1 successfully authenticated as unix-user:bateman to gain ONE-SHOT authorization for action org.freedesktop.policykit.exec for unix-process:2517:25785526 [bash] (owned by unix-user:davidz)
Dec 11 15:20:06 localhost polkitd(authority=local): ALLOWING action org.freedesktop.policykit.exec for unix-process:2517:25785526 [bash] owned by unix-user:davidz (check requested by system-bus-name::1.913 [pkexec bash])

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix up last comment

Signed-off-by: David Zeuthen <davidz@redhat.com>

Run the open_session part of the PAM stack in pkexec(1)

This was pointed out in

http://lists.freedesktop.org/archives/polkit-devel/2009-December/000276.html

We already run the authentication and acct_mgmt parts in the
authentication agent.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Fix logic error in pk-example-frobnicate

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 25367 — Also read local authority configuration data from /etc

Turns out some people would rather edit local files in /etc rather
than shipping them in a package (as e.g. Fedora does with the
polkit-desktop-policy RPM).

This also drops the hard-coded list of directory names such as
10-vendor.d, 20-org.d - we now monitor the
/var/lib/polkit-1/localauthority and /etc/polkit-1/localauthority
directories for changes - whenever we see a subdirectory in any of
these directories, we create an AuthorizationStore object that looks
for .pkla files.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Update NEWS for release

Fix make distcheck

Add Python example

Properly validate all arguments passed via D-Bus

Clarify pklocalauthority(8) man page

Suggestions from

 https://bugzilla.redhat.com/show_bug.cgi?id=534140

Thanks.

Remove TODO about symbol visibility as this has been fixed for a while

See 6a35bf6132d2d27ed507e894df9ba8d9e0dfc9f9
4a3cdac63bc62497e5a2682772162b2ae60147ed and
784236e9f4ef2688c2c3d9a59494870b8b9d5a6e

Drop ununsed policykit actions

Port lockdown from pklalockdown(1) to D-Bus methods

Also rename the action from org.freedesktop.policykit.localauthority.lockdown
to org.freedesktop.policykit.lockdown since any authority implementation
can now implement this.

This changes only ABI/API used by e.g. polkit-gnome. This is fine
since we're not at 1.0 yet.

Add methods AddLockdownForAction() and RemoveLockdownForAction()

Now to implement this in the interactive authority...

Bug 24176 – Current git master fails to build, GLIB_LDADD -> GLIB_LIBS

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 24235 – polkit-agent-helper may call pam_end with a stale pam handle

polkit-agent-helper calls pam_end on pam_h without setting pam_h to
NULL. This causes the error handler to call pam_end on the stale
handler if the send_dbus_message procedure fails, which in turn
generates a SIGSEGV.

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 24640 – Typos in pklocalauthority(8)

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 24566 – Properly _ref authority in singleton constructor

http://bugs.freedesktop.org/show_bug.cgi?id=24566

Signed-off-by: David Zeuthen <davidz@redhat.com>

Bug 24495 – Fails to build on platforms without PATH_MAX (like hurd)

PATH_MAX, which hurd-i386 doesn't define since it doesn't have such
arbitrary limitation.  The attached patch fixes it by just using
glibc's get_current_dir_name() extension when available.

Signed-off-by: Michael Biebl <mbiebl@gmail.com>
Signed-off-by: David Zeuthen <davidz@redhat.com>

Clarify when AllowUserInteraction should and shouldn't be used

See https://bugzilla.redhat.com/show_bug.cgi?id=526053 for more details.