reboot: checkpatch.pl the new kernel/reboot.c file
[linux-3.10.git] / kernel / seccomp.c
1 /*
2  * linux/kernel/seccomp.c
3  *
4  * Copyright 2004-2005  Andrea Arcangeli <andrea@cpushare.com>
5  *
6  * Copyright (C) 2012 Google, Inc.
7  * Will Drewry <wad@chromium.org>
8  *
9  * This defines a simple but solid secure-computing facility.
10  *
11  * Mode 1 uses a fixed list of allowed system calls.
12  * Mode 2 allows user-defined system call filters in the form
13  *        of Berkeley Packet Filters/Linux Socket Filters.
14  */
15
16 #include <linux/atomic.h>
17 #include <linux/audit.h>
18 #include <linux/compat.h>
19 #include <linux/sched.h>
20 #include <linux/seccomp.h>
21 #include <linux/slab.h>
22 #include <linux/syscalls.h>
23
24 /* #define SECCOMP_DEBUG 1 */
25
26 #ifdef CONFIG_SECCOMP_FILTER
27 #include <asm/syscall.h>
28 #include <linux/filter.h>
29 #include <linux/pid.h>
30 #include <linux/ptrace.h>
31 #include <linux/security.h>
32 #include <linux/tracehook.h>
33 #include <linux/uaccess.h>
34
35 /**
36  * struct seccomp_filter - container for seccomp BPF programs
37  *
38  * @usage: reference count to manage the object lifetime.
39  *         get/put helpers should be used when accessing an instance
40  *         outside of a lifetime-guarded section.  In general, this
41  *         is only needed for handling filters shared across tasks.
42  * @prev: points to a previously installed, or inherited, filter
43  * @len: the number of instructions in the program
44  * @insns: the BPF program instructions to evaluate
45  *
46  * seccomp_filter objects are organized in a tree linked via the @prev
47  * pointer.  For any task, it appears to be a singly-linked list starting
48  * with current->seccomp.filter, the most recently attached or inherited filter.
49  * However, multiple filters may share a @prev node, by way of fork(), which
50  * results in a unidirectional tree existing in memory.  This is similar to
51  * how namespaces work.
52  *
53  * seccomp_filter objects should never be modified after being attached
54  * to a task_struct (other than @usage).
55  */
56 struct seccomp_filter {
57         atomic_t usage;
58         struct seccomp_filter *prev;
59         unsigned short len;  /* Instruction count */
60         struct sock_filter insns[];
61 };
62
63 /* Limit any path through the tree to 256KB worth of instructions. */
64 #define MAX_INSNS_PER_PATH ((1 << 18) / sizeof(struct sock_filter))
65
66 /**
67  * get_u32 - returns a u32 offset into data
68  * @data: a unsigned 64 bit value
69  * @index: 0 or 1 to return the first or second 32-bits
70  *
71  * This inline exists to hide the length of unsigned long.  If a 32-bit
72  * unsigned long is passed in, it will be extended and the top 32-bits will be
73  * 0. If it is a 64-bit unsigned long, then whatever data is resident will be
74  * properly returned.
75  *
76  * Endianness is explicitly ignored and left for BPF program authors to manage
77  * as per the specific architecture.
78  */
79 static inline u32 get_u32(u64 data, int index)
80 {
81         return ((u32 *)&data)[index];
82 }
83
84 /* Helper for bpf_load below. */
85 #define BPF_DATA(_name) offsetof(struct seccomp_data, _name)
86 /**
87  * bpf_load: checks and returns a pointer to the requested offset
88  * @off: offset into struct seccomp_data to load from
89  *
90  * Returns the requested 32-bits of data.
91  * seccomp_check_filter() should assure that @off is 32-bit aligned
92  * and not out of bounds.  Failure to do so is a BUG.
93  */
94 u32 seccomp_bpf_load(int off)
95 {
96         struct pt_regs *regs = task_pt_regs(current);
97         if (off == BPF_DATA(nr))
98                 return syscall_get_nr(current, regs);
99         if (off == BPF_DATA(arch))
100                 return syscall_get_arch();
101         if (off >= BPF_DATA(args[0]) && off < BPF_DATA(args[6])) {
102                 unsigned long value;
103                 int arg = (off - BPF_DATA(args[0])) / sizeof(u64);
104                 int index = !!(off % sizeof(u64));
105                 syscall_get_arguments(current, regs, arg, 1, &value);
106                 return get_u32(value, index);
107         }
108         if (off == BPF_DATA(instruction_pointer))
109                 return get_u32(KSTK_EIP(current), 0);
110         if (off == BPF_DATA(instruction_pointer) + sizeof(u32))
111                 return get_u32(KSTK_EIP(current), 1);
112         /* seccomp_check_filter should make this impossible. */
113         BUG();
114 }
115
116 /**
117  *      seccomp_check_filter - verify seccomp filter code
118  *      @filter: filter to verify
119  *      @flen: length of filter
120  *
121  * Takes a previously checked filter (by sk_chk_filter) and
122  * redirects all filter code that loads struct sk_buff data
123  * and related data through seccomp_bpf_load.  It also
124  * enforces length and alignment checking of those loads.
125  *
126  * Returns 0 if the rule set is legal or -EINVAL if not.
127  */
128 static int seccomp_check_filter(struct sock_filter *filter, unsigned int flen)
129 {
130         int pc;
131         for (pc = 0; pc < flen; pc++) {
132                 struct sock_filter *ftest = &filter[pc];
133                 u16 code = ftest->code;
134                 u32 k = ftest->k;
135
136                 switch (code) {
137                 case BPF_S_LD_W_ABS:
138                         ftest->code = BPF_S_ANC_SECCOMP_LD_W;
139                         /* 32-bit aligned and not out of bounds. */
140                         if (k >= sizeof(struct seccomp_data) || k & 3)
141                                 return -EINVAL;
142                         continue;
143                 case BPF_S_LD_W_LEN:
144                         ftest->code = BPF_S_LD_IMM;
145                         ftest->k = sizeof(struct seccomp_data);
146                         continue;
147                 case BPF_S_LDX_W_LEN:
148                         ftest->code = BPF_S_LDX_IMM;
149                         ftest->k = sizeof(struct seccomp_data);
150                         continue;
151                 /* Explicitly include allowed calls. */
152                 case BPF_S_RET_K:
153                 case BPF_S_RET_A:
154                 case BPF_S_ALU_ADD_K:
155                 case BPF_S_ALU_ADD_X:
156                 case BPF_S_ALU_SUB_K:
157                 case BPF_S_ALU_SUB_X:
158                 case BPF_S_ALU_MUL_K:
159                 case BPF_S_ALU_MUL_X:
160                 case BPF_S_ALU_DIV_X:
161                 case BPF_S_ALU_AND_K:
162                 case BPF_S_ALU_AND_X:
163                 case BPF_S_ALU_OR_K:
164                 case BPF_S_ALU_OR_X:
165                 case BPF_S_ALU_XOR_K:
166                 case BPF_S_ALU_XOR_X:
167                 case BPF_S_ALU_LSH_K:
168                 case BPF_S_ALU_LSH_X:
169                 case BPF_S_ALU_RSH_K:
170                 case BPF_S_ALU_RSH_X:
171                 case BPF_S_ALU_NEG:
172                 case BPF_S_LD_IMM:
173                 case BPF_S_LDX_IMM:
174                 case BPF_S_MISC_TAX:
175                 case BPF_S_MISC_TXA:
176                 case BPF_S_ALU_DIV_K:
177                 case BPF_S_LD_MEM:
178                 case BPF_S_LDX_MEM:
179                 case BPF_S_ST:
180                 case BPF_S_STX:
181                 case BPF_S_JMP_JA:
182                 case BPF_S_JMP_JEQ_K:
183                 case BPF_S_JMP_JEQ_X:
184                 case BPF_S_JMP_JGE_K:
185                 case BPF_S_JMP_JGE_X:
186                 case BPF_S_JMP_JGT_K:
187                 case BPF_S_JMP_JGT_X:
188                 case BPF_S_JMP_JSET_K:
189                 case BPF_S_JMP_JSET_X:
190                         continue;
191                 default:
192                         return -EINVAL;
193                 }
194         }
195         return 0;
196 }
197
198 /**
199  * seccomp_run_filters - evaluates all seccomp filters against @syscall
200  * @syscall: number of the current system call
201  *
202  * Returns valid seccomp BPF response codes.
203  */
204 static u32 seccomp_run_filters(int syscall)
205 {
206         struct seccomp_filter *f = ACCESS_ONCE(current->seccomp.filter);
207         u32 ret = SECCOMP_RET_ALLOW;
208
209         /* Ensure unexpected behavior doesn't result in failing open. */
210         if (unlikely(WARN_ON(f == NULL)))
211                 return SECCOMP_RET_KILL;
212
213         /* Make sure cross-thread synced filter points somewhere sane. */
214         smp_read_barrier_depends();
215
216         /*
217          * All filters in the list are evaluated and the lowest BPF return
218          * value always takes priority (ignoring the DATA).
219          */
220         for (; f; f = f->prev) {
221                 u32 cur_ret = sk_run_filter(NULL, f->insns);
222                 
223                 if ((cur_ret & SECCOMP_RET_ACTION) < (ret & SECCOMP_RET_ACTION))
224                         ret = cur_ret;
225         }
226         return ret;
227 }
228 #endif /* CONFIG_SECCOMP_FILTER */
229
230 static inline bool seccomp_may_assign_mode(unsigned long seccomp_mode)
231 {
232         assert_spin_locked(&current->sighand->siglock);
233
234         if (current->seccomp.mode && current->seccomp.mode != seccomp_mode)
235                 return false;
236
237         return true;
238 }
239
240 static inline void seccomp_assign_mode(struct task_struct *task,
241                                        unsigned long seccomp_mode)
242 {
243         assert_spin_locked(&task->sighand->siglock);
244
245         task->seccomp.mode = seccomp_mode;
246         /*
247          * Make sure TIF_SECCOMP cannot be set before the mode (and
248          * filter) is set.
249          */
250         smp_mb();
251         set_tsk_thread_flag(task, TIF_SECCOMP);
252 }
253
254 #ifdef CONFIG_SECCOMP_FILTER
255 /* Returns 1 if the parent is an ancestor of the child. */
256 static int is_ancestor(struct seccomp_filter *parent,
257                        struct seccomp_filter *child)
258 {
259         /* NULL is the root ancestor. */
260         if (parent == NULL)
261                 return 1;
262         for (; child; child = child->prev)
263                 if (child == parent)
264                         return 1;
265         return 0;
266 }
267
268 /**
269  * seccomp_can_sync_threads: checks if all threads can be synchronized
270  *
271  * Expects sighand and cred_guard_mutex locks to be held.
272  *
273  * Returns 0 on success, -ve on error, or the pid of a thread which was
274  * either not in the correct seccomp mode or it did not have an ancestral
275  * seccomp filter.
276  */
277 static inline pid_t seccomp_can_sync_threads(void)
278 {
279         struct task_struct *thread, *caller;
280
281         BUG_ON(!mutex_is_locked(&current->signal->cred_guard_mutex));
282         assert_spin_locked(&current->sighand->siglock);
283
284         /* Validate all threads being eligible for synchronization. */
285         caller = current;
286         for_each_thread(caller, thread) {
287                 pid_t failed;
288
289                 /* Skip current, since it is initiating the sync. */
290                 if (thread == caller)
291                         continue;
292
293                 if (thread->seccomp.mode == SECCOMP_MODE_DISABLED ||
294                     (thread->seccomp.mode == SECCOMP_MODE_FILTER &&
295                      is_ancestor(thread->seccomp.filter,
296                                  caller->seccomp.filter)))
297                         continue;
298
299                 /* Return the first thread that cannot be synchronized. */
300                 failed = task_pid_vnr(thread);
301                 /* If the pid cannot be resolved, then return -ESRCH */
302                 if (unlikely(WARN_ON(failed == 0)))
303                         failed = -ESRCH;
304                 return failed;
305         }
306
307         return 0;
308 }
309
310 /**
311  * seccomp_sync_threads: sets all threads to use current's filter
312  *
313  * Expects sighand and cred_guard_mutex locks to be held, and for
314  * seccomp_can_sync_threads() to have returned success already
315  * without dropping the locks.
316  *
317  */
318 static inline void seccomp_sync_threads(void)
319 {
320         struct task_struct *thread, *caller;
321
322         BUG_ON(!mutex_is_locked(&current->signal->cred_guard_mutex));
323         assert_spin_locked(&current->sighand->siglock);
324
325         /* Synchronize all threads. */
326         caller = current;
327         for_each_thread(caller, thread) {
328                 /* Skip current, since it needs no changes. */
329                 if (thread == caller)
330                         continue;
331
332                 /* Get a task reference for the new leaf node. */
333                 get_seccomp_filter(caller);
334                 /*
335                  * Drop the task reference to the shared ancestor since
336                  * current's path will hold a reference.  (This also
337                  * allows a put before the assignment.)
338                  */
339                 put_seccomp_filter(thread);
340                 smp_store_release(&thread->seccomp.filter,
341                                   caller->seccomp.filter);
342                 /*
343                  * Opt the other thread into seccomp if needed.
344                  * As threads are considered to be trust-realm
345                  * equivalent (see ptrace_may_access), it is safe to
346                  * allow one thread to transition the other.
347                  */
348                 if (thread->seccomp.mode == SECCOMP_MODE_DISABLED) {
349                         /*
350                          * Don't let an unprivileged task work around
351                          * the no_new_privs restriction by creating
352                          * a thread that sets it up, enters seccomp,
353                          * then dies.
354                          */
355                         if (task_no_new_privs(caller))
356                                 task_set_no_new_privs(thread);
357
358                         seccomp_assign_mode(thread, SECCOMP_MODE_FILTER);
359                 }
360         }
361 }
362
363 /**
364  * seccomp_prepare_filter: Prepares a seccomp filter for use.
365  * @fprog: BPF program to install
366  *
367  * Returns filter on success or an ERR_PTR on failure.
368  */
369 static struct seccomp_filter *seccomp_prepare_filter(struct sock_fprog *fprog)
370 {
371         struct seccomp_filter *filter;
372         unsigned long fp_size = fprog->len * sizeof(struct sock_filter);
373         unsigned long total_insns = fprog->len;
374         long ret;
375
376         if (fprog->len == 0 || fprog->len > BPF_MAXINSNS)
377                 return ERR_PTR(-EINVAL);
378         BUG_ON(INT_MAX / fprog->len < sizeof(struct sock_filter));
379
380         for (filter = current->seccomp.filter; filter; filter = filter->prev)
381                 total_insns += filter->len + 4;  /* include a 4 instr penalty */
382         if (total_insns > MAX_INSNS_PER_PATH)
383                 return ERR_PTR(-ENOMEM);
384
385         /*
386          * Installing a seccomp filter requires that the task have
387          * CAP_SYS_ADMIN in its namespace or be running with no_new_privs.
388          * This avoids scenarios where unprivileged tasks can affect the
389          * behavior of privileged children.
390          */
391         if (!task_no_new_privs(current) &&
392             security_capable_noaudit(current_cred(), current_user_ns(),
393                                      CAP_SYS_ADMIN) != 0)
394                 return ERR_PTR(-EACCES);
395
396         /* Allocate a new seccomp_filter */
397         filter = kzalloc(sizeof(struct seccomp_filter) + fp_size,
398                          GFP_KERNEL|__GFP_NOWARN);
399         if (!filter)
400                 return ERR_PTR(-ENOMEM);;
401         atomic_set(&filter->usage, 1);
402         filter->len = fprog->len;
403
404         /* Copy the instructions from fprog. */
405         ret = -EFAULT;
406         if (copy_from_user(filter->insns, fprog->filter, fp_size))
407                 goto fail;
408
409         /* Check and rewrite the fprog via the skb checker */
410         ret = sk_chk_filter(filter->insns, filter->len);
411         if (ret)
412                 goto fail;
413
414         /* Check and rewrite the fprog for seccomp use */
415         ret = seccomp_check_filter(filter->insns, filter->len);
416         if (ret)
417                 goto fail;
418
419         return filter;
420
421 fail:
422         kfree(filter);
423         return ERR_PTR(ret);
424 }
425
426 /**
427  * seccomp_prepare_user_filter - prepares a user-supplied sock_fprog
428  * @user_filter: pointer to the user data containing a sock_fprog.
429  *
430  * Returns 0 on success and non-zero otherwise.
431  */
432 static struct seccomp_filter *
433 seccomp_prepare_user_filter(const char __user *user_filter)
434 {
435         struct sock_fprog fprog;
436         struct seccomp_filter *filter = ERR_PTR(-EFAULT);
437
438 #ifdef CONFIG_COMPAT
439         if (is_compat_task()) {
440                 struct compat_sock_fprog fprog32;
441                 if (copy_from_user(&fprog32, user_filter, sizeof(fprog32)))
442                         goto out;
443                 fprog.len = fprog32.len;
444                 fprog.filter = compat_ptr(fprog32.filter);
445         } else /* falls through to the if below. */
446 #endif
447         if (copy_from_user(&fprog, user_filter, sizeof(fprog)))
448                 goto out;
449         filter = seccomp_prepare_filter(&fprog);
450 out:
451         return filter;
452 }
453
454 /**
455  * seccomp_attach_filter: validate and attach filter
456  * @flags:  flags to change filter behavior
457  * @filter: seccomp filter to add to the current process
458  *
459  * Caller must be holding current->sighand->siglock lock.
460  *
461  * Returns 0 on success, -ve on error.
462  */
463 static long seccomp_attach_filter(unsigned int flags,
464                                   struct seccomp_filter *filter)
465 {
466         unsigned long total_insns;
467         struct seccomp_filter *walker;
468
469         assert_spin_locked(&current->sighand->siglock);
470
471         /* Validate resulting filter length. */
472         total_insns = filter->len;
473         for (walker = current->seccomp.filter; walker; walker = walker->prev)
474                 total_insns += walker->len + 4;  /* 4 instr penalty */
475         if (total_insns > MAX_INSNS_PER_PATH)
476                 return -ENOMEM;
477
478         /* If thread sync has been requested, check that it is possible. */
479         if (flags & SECCOMP_FILTER_FLAG_TSYNC) {
480                 int ret;
481
482                 ret = seccomp_can_sync_threads();
483                 if (ret)
484                         return ret;
485         }
486
487         /*
488          * If there is an existing filter, make it the prev and don't drop its
489          * task reference.
490          */
491         filter->prev = current->seccomp.filter;
492         current->seccomp.filter = filter;
493
494         /* Now that the new filter is in place, synchronize to all threads. */
495         if (flags & SECCOMP_FILTER_FLAG_TSYNC)
496                 seccomp_sync_threads();
497
498         return 0;
499 }
500
501 /* get_seccomp_filter - increments the reference count of the filter on @tsk */
502 void get_seccomp_filter(struct task_struct *tsk)
503 {
504         struct seccomp_filter *orig = tsk->seccomp.filter;
505         if (!orig)
506                 return;
507         /* Reference count is bounded by the number of total processes. */
508         atomic_inc(&orig->usage);
509 }
510
511 static inline void seccomp_filter_free(struct seccomp_filter *filter)
512 {
513         if (filter) {
514                 kfree(filter);
515         }
516 }
517
518 /* put_seccomp_filter - decrements the ref count of tsk->seccomp.filter */
519 void put_seccomp_filter(struct task_struct *tsk)
520 {
521         struct seccomp_filter *orig = tsk->seccomp.filter;
522         /* Clean up single-reference branches iteratively. */
523         while (orig && atomic_dec_and_test(&orig->usage)) {
524                 struct seccomp_filter *freeme = orig;
525                 orig = orig->prev;
526                 seccomp_filter_free(freeme);
527         }
528 }
529
530 /**
531  * seccomp_send_sigsys - signals the task to allow in-process syscall emulation
532  * @syscall: syscall number to send to userland
533  * @reason: filter-supplied reason code to send to userland (via si_errno)
534  *
535  * Forces a SIGSYS with a code of SYS_SECCOMP and related sigsys info.
536  */
537 static void seccomp_send_sigsys(int syscall, int reason)
538 {
539         struct siginfo info;
540         memset(&info, 0, sizeof(info));
541         info.si_signo = SIGSYS;
542         info.si_code = SYS_SECCOMP;
543         info.si_call_addr = (void __user *)KSTK_EIP(current);
544         info.si_errno = reason;
545         info.si_arch = syscall_get_arch();
546         info.si_syscall = syscall;
547         force_sig_info(SIGSYS, &info, current);
548 }
549 #endif  /* CONFIG_SECCOMP_FILTER */
550
551 /*
552  * Secure computing mode 1 allows only read/write/exit/sigreturn.
553  * To be fully secure this must be combined with rlimit
554  * to limit the stack allocations too.
555  */
556 static int mode1_syscalls[] = {
557         __NR_seccomp_read, __NR_seccomp_write, __NR_seccomp_exit, __NR_seccomp_sigreturn,
558         0, /* null terminated */
559 };
560
561 #ifdef CONFIG_COMPAT
562 static int mode1_syscalls_32[] = {
563         __NR_seccomp_read_32, __NR_seccomp_write_32, __NR_seccomp_exit_32, __NR_seccomp_sigreturn_32,
564         0, /* null terminated */
565 };
566 #endif
567
568 int __secure_computing(int this_syscall)
569 {
570         int exit_sig = 0;
571         int *syscall;
572         u32 ret;
573
574         /*
575          * Make sure that any changes to mode from another thread have
576          * been seen after TIF_SECCOMP was seen.
577          */
578         rmb();
579
580         switch (current->seccomp.mode) {
581         case SECCOMP_MODE_STRICT:
582                 syscall = mode1_syscalls;
583 #ifdef CONFIG_COMPAT
584                 if (is_compat_task())
585                         syscall = mode1_syscalls_32;
586 #endif
587                 do {
588                         if (*syscall == this_syscall)
589                                 return 0;
590                 } while (*++syscall);
591                 exit_sig = SIGKILL;
592                 ret = SECCOMP_RET_KILL;
593                 break;
594 #ifdef CONFIG_SECCOMP_FILTER
595         case SECCOMP_MODE_FILTER: {
596                 int data;
597                 struct pt_regs *regs = task_pt_regs(current);
598                 ret = seccomp_run_filters(this_syscall);
599                 data = ret & SECCOMP_RET_DATA;
600                 ret &= SECCOMP_RET_ACTION;
601                 switch (ret) {
602                 case SECCOMP_RET_ERRNO:
603                         /* Set the low-order 16-bits as a errno. */
604                         syscall_set_return_value(current, regs,
605                                                  -data, 0);
606                         goto skip;
607                 case SECCOMP_RET_TRAP:
608                         /* Show the handler the original registers. */
609                         syscall_rollback(current, regs);
610                         /* Let the filter pass back 16 bits of data. */
611                         seccomp_send_sigsys(this_syscall, data);
612                         goto skip;
613                 case SECCOMP_RET_TRACE:
614                         /* Skip these calls if there is no tracer. */
615                         if (!ptrace_event_enabled(current, PTRACE_EVENT_SECCOMP)) {
616                                 syscall_set_return_value(current, regs,
617                                                          -ENOSYS, 0);
618                                 goto skip;
619                         }
620                         /* Allow the BPF to provide the event message */
621                         ptrace_event(PTRACE_EVENT_SECCOMP, data);
622                         /*
623                          * The delivery of a fatal signal during event
624                          * notification may silently skip tracer notification.
625                          * Terminating the task now avoids executing a system
626                          * call that may not be intended.
627                          */
628                         if (fatal_signal_pending(current))
629                                 break;
630                         if (syscall_get_nr(current, regs) < 0)
631                                 goto skip;  /* Explicit request to skip. */
632
633                         return 0;
634                 case SECCOMP_RET_ALLOW:
635                         return 0;
636                 case SECCOMP_RET_KILL:
637                 default:
638                         break;
639                 }
640                 exit_sig = SIGSYS;
641                 break;
642         }
643 #endif
644         default:
645                 BUG();
646         }
647
648 #ifdef SECCOMP_DEBUG
649         dump_stack();
650 #endif
651         audit_seccomp(this_syscall, exit_sig, ret);
652         do_exit(exit_sig);
653 #ifdef CONFIG_SECCOMP_FILTER
654 skip:
655         audit_seccomp(this_syscall, exit_sig, ret);
656 #endif
657         return -1;
658 }
659
660 long prctl_get_seccomp(void)
661 {
662         return current->seccomp.mode;
663 }
664
665 /**
666  * seccomp_set_mode_strict: internal function for setting strict seccomp
667  *
668  * Once current->seccomp.mode is non-zero, it may not be changed.
669  *
670  * Returns 0 on success or -EINVAL on failure.
671  */
672 static long seccomp_set_mode_strict(void)
673 {
674         const unsigned long seccomp_mode = SECCOMP_MODE_STRICT;
675         long ret = -EINVAL;
676
677         spin_lock_irq(&current->sighand->siglock);
678
679         if (!seccomp_may_assign_mode(seccomp_mode))
680                 goto out;
681
682 #ifdef TIF_NOTSC
683         disable_TSC();
684 #endif
685         seccomp_assign_mode(current, seccomp_mode);
686         ret = 0;
687
688 out:
689         spin_unlock_irq(&current->sighand->siglock);
690
691         return ret;
692 }
693
694 #ifdef CONFIG_SECCOMP_FILTER
695 /**
696  * seccomp_set_mode_filter: internal function for setting seccomp filter
697  * @flags:  flags to change filter behavior
698  * @filter: struct sock_fprog containing filter
699  *
700  * This function may be called repeatedly to install additional filters.
701  * Every filter successfully installed will be evaluated (in reverse order)
702  * for each system call the task makes.
703  *
704  * Once current->seccomp.mode is non-zero, it may not be changed.
705  *
706  * Returns 0 on success or -EINVAL on failure.
707  */
708 static long seccomp_set_mode_filter(unsigned int flags,
709                                     const char __user *filter)
710 {
711         const unsigned long seccomp_mode = SECCOMP_MODE_FILTER;
712         struct seccomp_filter *prepared = NULL;
713         long ret = -EINVAL;
714
715         /* Validate flags. */
716         if (flags & ~SECCOMP_FILTER_FLAG_MASK)
717                 return -EINVAL;
718
719         /* Prepare the new filter before holding any locks. */
720         prepared = seccomp_prepare_user_filter(filter);
721         if (IS_ERR(prepared))
722                 return PTR_ERR(prepared);
723
724         /*
725          * Make sure we cannot change seccomp or nnp state via TSYNC
726          * while another thread is in the middle of calling exec.
727          */
728         if (flags & SECCOMP_FILTER_FLAG_TSYNC &&
729             mutex_lock_killable(&current->signal->cred_guard_mutex))
730                 goto out_free;
731
732         spin_lock_irq(&current->sighand->siglock);
733
734         if (!seccomp_may_assign_mode(seccomp_mode))
735                 goto out;
736
737         ret = seccomp_attach_filter(flags, prepared);
738         if (ret)
739                 goto out;
740         /* Do not free the successfully attached filter. */
741         prepared = NULL;
742
743         seccomp_assign_mode(current, seccomp_mode);
744 out:
745         spin_unlock_irq(&current->sighand->siglock);
746         if (flags & SECCOMP_FILTER_FLAG_TSYNC)
747                 mutex_unlock(&current->signal->cred_guard_mutex);
748 out_free:
749         seccomp_filter_free(prepared);
750         return ret;
751 }
752 #else
753 static inline long seccomp_set_mode_filter(unsigned int flags,
754                                            const char __user *filter)
755 {
756         return -EINVAL;
757 }
758 #endif
759
760 /* Common entry point for both prctl and syscall. */
761 static long do_seccomp(unsigned int op, unsigned int flags,
762                        const char __user *uargs)
763 {
764         switch (op) {
765         case SECCOMP_SET_MODE_STRICT:
766                 if (flags != 0 || uargs != NULL)
767                         return -EINVAL;
768                 return seccomp_set_mode_strict();
769         case SECCOMP_SET_MODE_FILTER:
770                 return seccomp_set_mode_filter(flags, uargs);
771         default:
772                 return -EINVAL;
773         }
774 }
775
776 SYSCALL_DEFINE3(seccomp, unsigned int, op, unsigned int, flags,
777                          const char __user *, uargs)
778 {
779         return do_seccomp(op, flags, uargs);
780 }
781
782 /**
783  * prctl_set_seccomp: configures current->seccomp.mode
784  * @seccomp_mode: requested mode to use
785  * @filter: optional struct sock_fprog for use with SECCOMP_MODE_FILTER
786  *
787  * Returns 0 on success or -EINVAL on failure.
788  */
789 long prctl_set_seccomp(unsigned long seccomp_mode, char __user *filter)
790 {
791         unsigned int op;
792         char __user *uargs;
793
794         switch (seccomp_mode) {
795         case SECCOMP_MODE_STRICT:
796                 op = SECCOMP_SET_MODE_STRICT;
797                 /*
798                  * Setting strict mode through prctl always ignored filter,
799                  * so make sure it is always NULL here to pass the internal
800                  * check in do_seccomp().
801                  */
802                 uargs = NULL;
803                 break;
804         case SECCOMP_MODE_FILTER:
805                 op = SECCOMP_SET_MODE_FILTER;
806                 uargs = filter;
807                 break;
808         default:
809                 return -EINVAL;
810         }
811
812         /* prctl interface doesn't have flags, so they are always zero. */
813         return do_seccomp(op, 0, uargs);
814 }