doc: annotate more strings, break more lines ...

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: KDBUS_MSG_PAYLOAD_{VEC|MEMFD} => KDBUS_ITEM_PAYLOAD_{VEC|MEMDF}

KDBUS_MSG_PAYLOAD_{VEC|MEMFD} were renamed to KDBUS_ITEM_PAYLOAD_{VEC|MEMDF}

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

doc: assorted fixup

Closed some TODOs in kdbus.item and lots of reformatting.

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: more return value section cleanups

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: more <varname> tag cleanups

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: turn some <varname> into <constant>

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: error code section cleanups

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: minor changes to kdbus.connection(7)

Signed-off-by: Tom Gundersen <teg@jklm.no>

doc: kdbus.pool.xml cleanups

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: kdbus.fs.xml cleanups

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: reformat the "return value" sections in all man pages

Also fix some more TODOs.

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: more work on kdbus.endpoint.xml

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: enable html output

Type 'make htmldoc' to get doc/*.html

Signed-off-by: Daniel Mack <daniel@zonque.org>

Dissolve kdbus.txt

The information in kdbus.txt has been transferred to man pages, except
for informtaion about the internal object relationship.

Remove kdbus.txt and transfer the rest as comment into main.c.

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: cleanup kdbus.bus

Signed-off-by: Daniel Mack <daniel@zonque.org>

docs: assorted cleanups

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: restructure kdbus.item

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: some more work on kdbus.item

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: some more information on items

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: add kdbus.match.xml

Not finished yet.

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: minor fixes and new TODOs

Signed-off-by: Tom Gundersen <teg@jklm.no>

doc: add kdbus.policy.7

Signed-off-by: Daniel Mack <daniel@zonque.org>

test: add check for pointer arithmetic overflow

It's not crucial to have this in the test suite, but we should follow
our own examples.

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: convert documentation to docbook-xml

This is work in progress and not finished yet.

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: replace KDBUS_MSG_PAYLOAD_{VEC|MEMFD} with KDBUS_ITEM_PAYLOAD_{VEC|MEMFD}

Replace KDBUS_MSG_PAYLOAD_VEC and KDBUS_MSG_PAYLOAD_MEMFD with
KDBUS_ITEM_PAYLOAD_VEC and KDBUS_ITEM_PAYLOAD_MEMFD respectively.

This is a documentation fix.

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

doc: KDBUS_MSG_SYNC_REPLY was replaced by KDBUS_SEND_SYNC_REPLY

There is no more KDBUS_MSG_SYNC_REPLY, it was replaced by
KDBUS_SEND_SYNC_REPLY. This is only a documentation fix.

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

test: decrease memfd_count by 1 because all fds take one item

When test E2BIG using memfd_count, we should consider that all fds
will take one item. So the number of left item, which will trigger
E2BIG is (KDBUG_MSG_MAX_ITEMs - 1).

Signed-off-by: Sheng Yong <shyodx@gmail.com>
Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

match: for KDBUS_CMD_MATCH_REMOVE fail with EBADSLT for invalid match entries

For KDBUS_CMD_MATCH_REMOVE, if a match entry is not found or invalid
fail with EBADSLT

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

kdbus.txt: add better description about priority dequeuing

Signed-off-by: Daniel Mack <daniel@zonque.org>

kdbus.txt: Incorporate changes proposed by Michael Kerrisk

Signed-off-by: Daniel Mack <daniel@zonque.org>

doc: Assorted typo fixes

Signed-off-by: Rémi Audebert <halfr@lse.epita.fr>
Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

connection: kdbus_conn_entry_insert(): fix typo in comment

Signed-off-by: Sergei Zviagintsev <sergei@s15v.net>

connection: fix typo in kdbus_conn_entry_insert() kernel-doc

Signed-off-by: Sergei Zviagintsev <sergei@s15v.net>

handle: remove useless statement

Signed-off-by: Rui Miguel Silva <rmfrfs@gmail.com>
Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

handle: fix memleak on error path

Signed-off-by: Rui Miguel Silva <rmfrfs@gmail.com>
Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

metadata: fix kerneldoc

Signed-off-by: Daniel Mack <daniel@zonque.org>

kdbus.h: fix kernel-doc for struct kdbus_cmd_recv

Update kernel-doc according to 'reply' to 'msg' member name change which
has been done in 9eec4fcfbbc7 ("kdbus.h: rename 'reply' to 'msg' in
struct kdbus_cmd_recv").

doc: update kdbus.txt

kdbus.h: rename 'reply' to 'msg' in struct kdbus_cmd_recv

Signed-off-by: Daniel Mack <daniel@zonque.org>

metadata: two trivial checkpatch.pl fixes

Signed-off-by: Daniel Mack <daniel@zonque.org>

Changelog: add entry about namespaces support in the test framework

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

kdbus: add myself to copyright

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

Changelog: document kdbus-test --tap

Signed-off-by: Daniel Mack <daniel@zonque.org>

kdbus: drop KDBUS_HELLO_UNPRIVILEGED (API break)

This flag is unused and we have no real use-case for it. Drop it.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

connection: fix dead-lock on policy-removal

If we clear the policy-db on last kdbus_conn_unref(), we have to take the
policy semaphore. However, we allow calling kdbus_conn_unref() while
holding a connection lock. This might deadlock against normal policy-db
modifications.

Therefore, we move policy-setup _after_ kdbus_conn_connect() and ensure
the connection is active. Then we can move the policy-removal into
kdbus_conn_disconnect(), which itself must never be called while holding
any lock.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

metadata: fix ATTACH_EXE without exe_file

It's possible that processes don't have exe_file set. Make sure we don't
fail then.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

bus: dont broadcast process-metadata on faked credentials

For unicasts, we correctly suppress process metadata if they are faked.
They ought to be read via GET_CONN_INFO. However, for broadcasts and
eavesdropping we didn't do this, yet. Fix that!

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

metadata: major overhaul to fix several bugs

The current metadata implementation suffers from several bugs:

1) If we run GET_CONN_INFO, we take the metadata object of the connection
and try to augment it with owned-names and the connection-description. We
do this unlocked on a _shared_ metadata object. This breaks parallel
GET_CONN_INFO calls as someone else might be calling kdbus_meta_export()
in parallel.

2) If we send a broadcast, we create a new metadata object that we fill
with information. Then, for each target, we collect further information
and queue it on the target. However, if a message is queued on target A
and it already tries to dequeue it while the broadcast still continues on
target B, we again get a collect vs. export race.

As I assumed we use faked-metadata as base for messages, too, I started to
split the metadata object into meta_proc and meta_conn. This turned out to
be not needed, but I thought it's a nice split and allows us to reduce
bus->meta and conn->meta to meta_proc, instead of meta_conn. If people
don't like it, we can revert it again. But the added code is minimal.

Anyway, the real fixes of this commit are:
 * meta objects have a lock now. This lock is held during updates *only*.
   During export, we only retrieve the "collected" flag and then can be
   sure that we can access the properly collected fields without races and
   without holding the lock.
 * meta objects distinguish "collected" and "valid" flags now. This fixes
   a race where we try to add owned-names, but a connection doesn't own
   names. On the next broadcast target, we try again and at this time the
   connection owns names. Thus, we would send the message with different
   information to different targets. To avoid this, we now set "collected"
   when we collected a flag without errors, but we only set "valid" if we
   collected it *AND* it is non-empty.
   This way, we will never collect a field twice, even if it was empty the
   first time.
 * get-conn-info now uses a temporary kdbus_meta_conn object to collect
   the connection related metadata. This is a one-time object, as the data
   is no longer valid afterwards.
 * Lots of random error-path fixes I was too lazy to commit separately (as
   they were mostly overwritten by further rewrites).
 * Reduce "struct file *exe" to "struct path exe". We really only ever
   accessed exe->f_path, so no need to pin the whole file. It's enough to
   pin the underlying inode via the path.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

item: improve kdbus_item_set()

Two improvements:
 - Return the next item as return value
 - Clear padding even if @data is given

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

metadata: warn if collected names are ill-formatted

Make sure we properly collect owned-names items, just like we verify all
our other item generators.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

test-attach-flags: make sure to restore kdbus attach_flags_mask on errors

If one of the test fails, then always restore
/sys/module/kdbus/parameters/attach_flags_mask to its previous saved
value.

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

test: set /proc/$pid/setgroups to 'deny' before writing to .../gid_map

Since Linux 3.19-rc1, it is necessary to disable setgroups permissions
before writing to gid_map. Silently ignore if 'setgroups' can't be
opened or written to.

Signed-off-by: Daniel Mack <daniel@zonque.org>

connection: provide kdbus_conn_assert_active() wrapper

Avoid depending on lockdep internals everywhere. Use
kdbus_conn_assert_active() to check whether the caller holds an active
reference.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

names: fix total length of kvecs

Don't let kdbus_pool_slice_alloc() copy the kvecs along with allocating
the slice. The problem is that we only want to copy the header of the
block in this case, which doesn't work when the implicit behavior is
used.

Hence, open-code the functionality. Fixes an Ooops on 3.19-rc3.

Signed-off-by: Daniel Mack <daniel@zonque.org>

kdbus-util: all_ids_are_mapped() do not leak an fd

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

message: simplify -EMSGSIZE test

Simplify the code a bit and check for pool size overflows after we did
the modulo operation.

Signed-off-by: Daniel Mack <daniel@zonque.org>

metadata: cosmetics

Signed-off-by: Daniel Mack <daniel@zonque.org>

Assorted spelling fixes

Signed-off-by: Daniel Mack <daniel@zonque.org>

connection, reply: move worker function to reply.h

Change kdbus_reply_list_scan() so it becomes the worker callback, so we
can remove the the glue from connection.c.

Signed-off-by: Daniel Mack <daniel@zonque.org>

connection: simplify kdbus_conn_lock2()

Drop 6 lines again and move the conditions directly before the lock
invokations.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

message: allow bloom filters with unicast signals

Make sure unicast signals can have bloom-filters attached.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

connection: fix kdbus_conn_lock2() for A==B

In odd cases (eg., sending a message to yourself), you might call
kdbus_conn_lock2() with A==B. Make sure we lock the connection only once
to not dead-lock.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

connection: simplify kdbus_conn_lock2()

We can use mutex_lock_nested() in both cases, so simplify the code.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

connection: silence lockdep on wrongly _nested() calls

If we call lock2() with a==NULL, we call _nested(1), which is wrong. Fix
this so lockdep works correctly.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

connection: add extra ref to reply while operating on it

kdbus_reply_unlink() potentially destroys the reply, so keep an
extra reference while working with it. Drop the reference after
we're done.

Signed-off-by: Daniel Mack <daniel@zonque.org>

handle: properly reset output arguments to 0

Make sure all output arguments are set to 0 so we can copy them once we're
done with the ioctl, regardless whether they were set previously.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

metadata: simplify OOM check for cmdline

Signed-off-by: Daniel Mack <daniel@zonque.org>

reply: fix ref-leak

Introduce kdbus_reply_link/unlink() which take care of the list-owned
reference to the reply object. Fix all the callsides to use it and
properly let each caller own its own reference now. We no longer have to
be aware of the queue-state at all times, instead, the list-state owns its
own reference.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

connection: remove redundant variable

'allowed' is equivalent to '!!r' so drop it.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

metadata: fix stray blank line

Signed-off-by: Daniel Mack <daniel@zonque.org>

metadata: fix kerneldoc

Signed-off-by: Daniel Mack <daniel@zonque.org>

reply: add kerneldoc

Signed-off-by: Daniel Mack <daniel@zonque.org>

connection: store reply trackers at reply_dst side

We are currently storing the reply objects at the connection that is
expected to send the reply. This raises some problems with interrupted
system calls when the message receiver name is taken over while the
sender has returned to userspace, before it restarts the syscall. If
the name is not taken over, but the receiver simply dies at this time,
we even leak the kdbus_reply object.

Fix this by storing the replies with the sending (and possibly
blocking) connection, as this is really where they belong. However,
this means that when moving messages, or when a connection dies, we
have to walk all connection on the bus in order to find pending replies
that point back to the connection in question. This can be optimized
with a second list, but I left that for later.

Signed-off-by: Daniel Mack <daniel@zonque.org>

connection.h: make kdbus_conn_{un,}lock2() NULL pointer resistant

Allow NULL pointers in both arguments to kdbus_conn_lock2() and
kdbus_conn_unlock2().

Signed-off-by: Daniel Mack <daniel@zonque.org>

test-message: messages that impersonate method replies are rejected

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

reply: fix kerneldoc indentation

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

reply: coding style cleanup

Signed-off-by: Daniel Mack <daniel@zonque.org>

Changelog: update

Signed-off-by: Daniel Mack <daniel@zonque.org>

Factor out reply related bits to reply.[ch]

Move some code from connection.c to reply.c for better separation.

Signed-off-by: Daniel Mack <daniel@zonque.org>

connection: rename kdbus_reply → kdbus_conn_reply

Drop the 'conn' part of the name, as it doesn't make sense.

Signed-off-by: Daniel Mack <daniel@zonque.org>

kdbus.h: rename kdbus_reply → kdbus_msg_info (API break)

Rename struct kdbus_reply and call it kdbus_msg_info, as the old
name didn't describe well what the struct is used for.

Signed-off-by: Daniel Mack <daniel@zonque.org>

metadata: fix seqnum on kernel notifications

The seqnum ID is passed together with the timestamps. Therefore, move the
"u64 seq" argument to kdbus_meta_add_timestamp(). As the seqnum is not
known at message allocation time, we now also move the
kdbus_meta_add_timestamp() to the time we actually allocate the ID.

This fixes seqnum IDs on kernel notifications.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

connection: unlock order doesn't matter

Make kdbus_conn_unlock2() just unlock both mutices, unlock order never
matters.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

connection: use current_cred() for sender policy checks

This changes the policy-decisions for sender-initiated actions to use
current_cred() instead of conn->cred. This means, policy decisions for
ioctls will use the current credentials, instead of the credentials during
open().

On the other hand, receiver credentials are now bound to the pool used for
retrieval of the messages. Therefore, broadcasts and implicit policies are
checked against the file credentials of the target.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

policy: use egid instead of gid

Same as for UIDs, use EGID instead of GID to perform policy checks.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

names: fix uninitialized return value

A recent commit dropped the initialization of 'ret' so now it is returned
uninitialized. Fix this!

The commit in question is:

    commit de18809ec40380e0d4681141281555f7df35b303
    Author: Daniel Mack <daniel@zonque.org>
    Date:   Wed Jan 7 15:48:54 2015 +0100

        names: ignore return value of kdbus_notify_name_change

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

connection: introduce kdbus_conn_lock2()

Lets not hard-code locking behavior of connections somewhere deep down in
names.c. Use kdbus_conn_lock2() to lock 2 connections at the same time.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

Changelog: some more updates

Signed-off-by: Daniel Mack <daniel@zonque.org>

names: don't break lines if we don't have to

Signed-off-by: Daniel Mack <daniel@zonque.org>

names: ignore return value of kdbus_notify_name_change

If we cannot notify connections about a lost name, just continue.
Releasing a name with CMD_NAME_RELEASE should never fail because of
such a condition.

Signed-off-by: Daniel Mack <daniel@zonque.org>

message: messages that expect a reply must provide a valid tracking cookie

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

test: test case for pending requests quota limit

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

Remove TODO

These have all been addressed or discussed, so the file can go away.

Signed-off-by: Daniel Mack <daniel@zonque.org>

kdbus: drop KDBUS_ITEM_SIGMASK

The sigset_t type is arch-dependent. We really don't want such types in
our kdbus API. Our CANCEL_FD provides a safe alternative, so use it.

If anyone wants SIGMASK support later on, we can always add it again. But
unless someone wants it, we will try hard to keep it out of kdbus.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

Revert commit f198a45 "kdbus.h: Use #defines rather than an enum..."

This reverts commit:

    commit f198a45e3242a4825e1e720c0637a151a6ef5e0d
    Author: Daniel Mack <daniel@zonque.org>
    Date:   Fri Oct 31 09:03:16 2014 +0100

        kdbus.h: Use #defines rather than an enum for ioctl definition

If you want to discover available features, use autoconf.

Signed-off-by: David Herrmann <dh.herrmann@gmail.com>

test: standarize the userns arguments

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

connection: for KDBUS_MSG_SIGNAL check match db then the policy db

Minor optimization, before locking the endpoint policy db in order to
check for TALK access, check first that the destination match db is
interested in the signal.

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

connection: code documentation for the signal access logic

Signed-off-by: Djalal Harouni <tixxdz@opendz.org>

connection: handle KDBUS_MSG_SIGNAL

Add missed hunks for handling KDBUS_MSG_SIGNAL.

Signed-off-by: Daniel Mack <daniel@zonque.org>

kdbus.h: close ioctl number gap (ABI break)

0x32 was used by KDBUS_CMD_CANCEL which was removed.
Close the number gap and reuse that number for CMD_FREE.

Signed-off-by: Daniel Mack <daniel@zonque.org>