ujail: rework fs jail part

Change functions to work with full paths (do less split and concat of path)
  Store "soname" as key and the fullpath as path in "libraries"
  Remove "extras" list and replace it with "mounts" avl_tree
  ("mounts" also store fullpath)

Add add_path_and_deps() function to handle file/lib openning and mmaping
  Check if file is an elf (magic number) before passing it to elf_load_deps()
  elf_load_deps() now only handle elf parsing part
  next commit adds script (#!) handling

Use add_path_and_deps() with -r and -w args to automatically add dependencies

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: DT_STRTAB uses d_ptr in d_un union (not d_val)

see
https://docs.oracle.com/cd/E19683-01/817-3677/chapter6-42444/index.html

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: remove some debug/dev hack

this code is present since first ujail commit (dfcfcca7)

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: fixup code style: "func()" -> "func(void)"

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: add init_library_search()

move all libraries search initialisation stuff
into elf.c / init_library_search()

for now we don't handle musl specific files

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: use PATH_MAX for path related buffers

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: search libs in /lib before /lib64

musl (openwrt DD r47603 x86-64) looks for lib only in /lib,
not in /lib64, and /lib64 is a symlink to /lib, so ujail find
all the libs in /lib64, add them in the jail (only under /lib64)
and then musl fails to find the libs.

uClibc (openwrt CC r47608 x86-64) looks for lib in /lib and
/usr/lib, not in /lib64 (/lib64 is also a symlink to /lib)

/lib64 is before /lib since the first commit, i don't know
if it was on purpose

this partly fixes
https://dev.openwrt.org/ticket/20785

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: remove "#include log.h" from elf.h

headers must include all there dependencies, no more, no less

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: add <stdio.h> and <syslog.h> to seccomp.h

headers must include all there dependencies, no more, no less

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: add <stdio.h> to log.h

headers must include all there dependencies, no more, no less
(it uses fprintf)

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: put #include guard macro in all *.h

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: use more const in elf.*

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: stop using extern in elf.h

extern qualifiers for function definitions doesn't really make sense

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: don't pass unused arg in clone call

clone() call need a function with "void *" arg
(else we have a compilation error)

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

ujail: don't add non existant library_path

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

fix a potential off-by-on eerror inside udevtrigegr

coverity found this: 1330086

Signed-off-by: John Crispin <blogic@openwrt.org>

syslog: set sane priority values

otherwise LOG_USER/LOG_EMERG is used

Signed-off-by: Ulrich Weber <uw@ocedo.com>

cmake: use CMAKE_INSTALL_* variables

Replace hard-coded installation directories with cmake-provided
variables, which gives more flexibility on where to install
final binaries. Great simplification for usage with e.g. BitBake recipes.

Signed-off-by: Sergiy Kibrik <sakib@meta.ua>

explicitely ignore return value of symlink(3) call

glibc sets __attribute_warn_unused_result__ on symlink(3) if
FORTIFY_SOURCE is set. This breaks procd which deliberately ignores
the result of the symlink(3) call early during init as there wouldn't
be anything better to do in that case other than ignoring the error and
trying to survive.

Introduce libc-compat.h to work-around libc anomalities.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

jail: Add MS_NODEV MS_NOEXEC MS_NOSUID mount options where needed

this completes fafbf7338ec8304f2a0ec0ba76048fba2c01c07e

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

jail: allow to not use namespaces

building a generic jail can be hard,
choosing to drop some capabilities can be easier.

This commit permit to use namespaces, capabilities
and seccomp combined as you like.

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

jail: cleanup include

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

jail: add capabilities support

If there is one or more capabilities in cap.keep,
drop all capabilities not in cap.keep.
Always drop all capabalities in cap.drop

exemple json syntax:
{
"cap.keep": [
        "cap_net_raw"
],
"cap.drop": []
}

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

Add MS_NODEV MS_NOEXEC MS_NOSUID mount options where needed

These options aren't mandatory, but can prevent some future
bugs from being exploited. Good reading:
http://lwn.net/Articles/647757/

Value chosen by looking at fedora 22 / ubuntu 14.04

Not tested yet (away from my tests routers)

Not touching jail/jail.c as this conflict with
my pending patch serie

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

system: fix undefined behavior in wdt offline check

watchdog_fd() is returning a char* and not a int. checking against < 0 could
lead in undefined behaviour.

Signed-off-by: Alexander Couzens <lynxis@fe80.eu>

jail: reworks & cleanups

-use EXIT_SUCCESS/EXIT_FAILURE (not -1)
-parse every option in main, put them in opts struct
-add CLONE_NEWIPC to the clone() call (it's already compiled in openwrt kernel)
-return the exit status of the jailed process, or the num of the signal that killed it
-add missing options to usage()
-add a warning in usage() about ujail security
-debug option can now take an int as parameter (~debug level),
  with -d2 you now activate "LD_DEBUG=all" for exemple
-do not depend on libpreload-seccomp.so if -S is not present
-there is now only one ujail process instead of two

jail creation is now as follow:
1) create jail root dir (mkdir)
2) create new namespace (clone)
(in the parent wait for the child with uloop)
3) build the jail root fs (mount bind all the libs/bins ...),
pivot_root and mount special fs (procfs, sysfs) (build_jail_fs())
4) build envp (LD_PRELOAD the seccomp helper or ...)
5) drop capabilities (next patch)
6) execve the jailed bin
7) remove jail root dir (once child is dead)

there is no need to umount anything because we are already in a namespace

Todo:
-allow signals from the parent to the child

Feature request:
-when we add a file or dir, detect if it's an exec and add it's dependencies

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

jail, seccomp: remove useless root check

prctl(PR_SET_NO_NEW_PRIVS, 1) is enough, we don't require CAP_SYS_ADMIN
see
https://www.kernel.org/doc/Documentation/prctl/seccomp_filter.txt
https://www.kernel.org/doc/Documentation/prctl/no_new_privs.txt

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

jail, seccomp: fix typo/improve log prefix

(perload-jail -> preload-seccomp)

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

add UTRACE_SUPPORT build option

we can now build preload-seccomp, ujail, utrace separately

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

move /dev/shm to /tmp/shm

Since the /dev filesystem is tiny, /dev/shm needs to live somewhere
else.

Signed-off-by: Daniel Gimpelevich <daniel@gimpelevich.san-francisco.ca.us>

inittab: always proceed to next state

If no S or K rc scripts provided we still should
be able to go on to next state, or we won't boot
properly and would not be able to reboot/shutdown later.

Signed-off-by: Sergiy Kibrik <sakib@meta.ua>

hotplug: add BUTTON to environment vars for timeout action

as done in pressed and released actions

Signed-off-by: Günther Kelleter <guenther.kelleter@devolo.de>

fix generating syscall-names.h

Sometimes the syscall number is not defined with a number but with an
offset to an other syscall and then make_syscall_h.sh created some
broken header file.

For example the bit/syscall.h from musl for i386 has this:

  #define __NR_timer_create     259
  #define __NR_timer_settime    (__NR_timer_create+1)

With this patch the resulting array looks like this:

 [259] = "timer_create",
 [(__NR_timer_create+1)] = "timer_settime",

This fixes this bug from OpenWrt:
https://dev.openwrt.org/ticket/20195

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

allow buttons to call delayed timeout actions

Signed-off-by: John Crispin <blogic@openwrt.org>

jail: fix jail root folder permissions

We need a+x rights on the path to the root of the jails
so we can use users other than root (like nobody)

This partly fixes jailed dnsmasq

Signed-off-by: Etienne CHAMPETIER <champetier.etienne@gmail.com>

service: if logging start app with LD_PRELOAD & lib for line buffering

Using pipe automatically switches service to block buffering which kind
of breaks our logging. We won't get anything from stdout FD until the
buffer gets filled fully or the service exits. This makes log messages
appear with an unwanted delay.
This change adds a tiny libsetlbf.so switching stdout to line buffering
and uses this lib for every logging-enabled service started by procd.
We don't need any extra change for stderr as it's unbuffered by default.

Signed-off-by: Rafał Miłecki <zajec5@gmail.com>
Modified to use no buffering to align with stderr. Several cleanups.

Signed-off-by: Steven Barth <steven@midlink.org>

Attempt to deal gracefully with allocation failures.

These should probably not happen in practice, but having an explicit
error message may make debugging out-of-memory situations easier.

Revert "hotplug: support for interval commands"

This reverts commit 9562ce477476a27851ec90cfbf971b8cb41c81a6.

Revert requested by John, will be re-implemented in a different way.

fix /dev/shm permissions, this time for real

Previous patch did not account for umask, now adding that.

Signed-off-by: Daniel Gimpelevich <daniel@gimpelevich.san-francisco.ca.us>

fix /dev/shm permissions

On my Ubuntu system, the permissions are 1777. They are incorrect in
procd, leading to this:
https://forum.openwrt.org/viewtopic.php?id=57073
This in intended for both CC and DD.

Signed-off-by: Daniel Gimpelevich <daniel@gimpelevich.san-francisco.ca.us>

hotplug: support for interval commands

This allows executing code with a given interval. As every command, it
can be assign to any uevent.

Intervals may be useful for counting elapsed time since some action. It
allows e.g. indicating that button has been pressed for some time. This
is useful to let user know he can already release the button.

Signed-off-by: Rafał Miłecki <zajec5@gmail.com>

service: reorder function to avoid forward declaration

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

service: close instance pipe fd on restart.

Otherwise we hit max number of fd limit (1024) and instances fail to
start with the following errors in syslog

    Sun Jun 14 01:27:38 2015 daemon.warn procd: pipe() failed: 24 (Too many open files)

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

service: allow get_data of specifc instance.

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

service: remove unused struct watch_subscribe definition.

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

service: dump respawn params in the same order as when passed in.

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

service: optimize relaying stdio output of daemons a bit.

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

trigger: make trigger_match() bool and make return value less confusing

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

allow multiple identical events to be queued

Signed-off-by: John Crispin <blogic@openwrt.org>

remove  ->
[    1.240000] init: failed to symlink /tmp -> /var

Signed-off-by: John Crispin <blogic@openwrt.org>

jail: respect byte order when setting AUDIT_ARCH

AUDIT_ARCH on ARM and MIPS differs depending on the byte order.
Thus set AUDIT_ARCH to the respective endian-specific variants.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

jail: add support for ARM architecture

SECCOMP_FILTER isn't supported on ARM OABI.
Thus enable seccomp support in jail only for EABI.
thumb might work as well as it apparently implies EABI, but
yet doesn't set __ARM_EABI__.

The REG_SYSCALL macro seems to be an unused left-over.
However, it's defined for other architectures as well.

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

trace: add support for ARM architecture

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

instance: handle setgid() before setuid()

When attempting to run a service with an unprivileged user and group
id procd, the following error might occur:

procd: failed to set uid:1000, gid:1000

This is due to the fact that procd first performs the setuid(), then
the setgid() call.

Usually there no sufficient permissions after a setuid() anymore to
change the effective group id of the process.

Refactor the code to:

  * Swap the invocations (first gid, then uid)
  * Don't set user or group id if it is 0
  * Handle errors independently and make them more verbose

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

instance: avoid dumping invalid service instances - prevents a potential crash

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

fix include order

this broke x86_64 builds on uclibc

Signed-off-by: John Crispin <blogic@openwrt.org>

properly handle return codes

Signed-off-by: John Crispin <blogic@openwrt.org>

make it optional to remount the tmpfs as ro

Signed-off-by: John Crispin <blogic@openwrt.org>

make jail build optional

Signed-off-by: John Crispin <blogic@openwrt.org>

procd can now start jailed processes

Signed-off-by: John Crispin <blogic@openwrt.org>

add initial version of ujail and utrace

Signed-off-by: John Crispin <blogic@openwrt.org>

check for empty parameters in askfirst

Signed-off-by: Zefir Kurtisi <zefir.kurtisi@neratec.com>

switch to _DEFAULT_SOURCE for modern glibc compat

Signed-off-by: Jeff Waugh <jdub@bethesignal.org>

json 0.12 fixes
Signed-off-by: John Crispin <blogic@openwrt.org>

service: rename variables / struct members called stdout, stderr to avoid conflicts with system defines

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

service: don't use stdio log channel

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

procd: support relayoing daemon stdout/stderr to syslog

This commit adds support to procd for relaying stdout and stderr streams to
the system log. That is mainly useful for services not using syslog, e.g.
uhttpd.

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

Convert log calls to ulog() api

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

procd: increase memory allocated for tmpfs on zram

Devices with <= 32MB of ram get half of memory allocated to zram (up to 16MB).
Devices with > 32MB of ram get just 8MB of memory allocated to zram.

Increase memory allocated to devices with > 32MB ram to 16MB.

Signed-off-by: Nathan Hintz <nlhintz@hotmail.com>

Make build of upgraded optional

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

system: increase memory field sizes to 64bit

On an Alix APU board with 4GB of available ram, the total memory is reported
as "-179417088" bytes. Increase the ubus field sizes to 64bit integers in
order to avoid overflows.

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

system: attempt to parse /proc/device-tree/model

Fallback to /proc/device-tree/model if /tmp/sysinfo/model is not available.

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

system: improve system name detection

Skip entries like "Processor: 0" which are common on x86, otherwise
an "ubus call system board" will just return "system: 0".

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

inittab: don't close fds unconditionally since this breaks UML

Signed-off-by: Steven Barth <steven@midlink.org>

only write to the watchdog if the fd is valid

Signed-off-by: John Crispin <blogic@openwrt.org>

previous commit accidentiall dropped the cgroup mount

Signed-off-by: John Crispin <blogic@openwrt.org>

add support for zram compressed tmpfs

Signed-off-by: John Crispin <blogic@openwrt.org>

service: fix ubus list command

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

initd: mount cgroup

If kernel is compiled with cgroup support it should be mounted. This change
does not effect kernels without cgroup support.

Signed-off-by: Luka Perkov <luka@openwrt.org>

inittab: clean up tty opening code, fix console shell job control issues

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

call setsid during startup.

this fixes a bug where pgrp was not set up properly leading to a trail of carnage;

Signed-off-by: John Crispin <blogic@openwrt.org>

kmodloader takes longer than wdt timeout

on systms with slow flash the watchdog will trigger when a lot of modules are
included in the image.

Signed-off-by: John Crispin <blogic@openwrt.org>

get_cmdline_val: search for entire name, not just suffix

also fix writing of 0-byte to buffer

Signed-off-by: Steven Barth <steven@midlink.org>

procd: Make askconsole work again when no tty is specified in inittab

Consider:
::askconsole:/bin/ash --login

askconsole( ) checks for the existance of the tty, but if none is
specified it will skip the remainder of the function. This means
fork_worker( ) is never called and no process is spawned. This
would leave routers without an initial console.

Signed-off-by: Michel Stam <m.stam@fugro.nl>

Honour tty field in /etc/inittab

The problem was caused by procd not opening /dev/tty* (whichever was
specified for the ID field /etc/inittab), causing /proc/PID/fd to
point to /dev/console instead.

This is a rework of e63051d9, which did not initialise the console
pointer and did not check the tty pointer in askconsole. askfirst
was not completely fixed as it expected the console parameter on
the commandline, which is no longer necessary because procd opens
the console prior to fork()-ing.

Signed-off-by: Michel Stam <m.stam@fugro.nl>

Revert "Honour tty field in /etc/inittab"

This reverts commit e63051d9843ddbafb1fabfd97d60e853bdeac129.
This unbreaks the initial console on UML and possibly other platforms.

Signed-off-by: Steven Barth <cyrus@openwrt.org>

Fix regression in command line parsing

79872ea6 reduced the command line buffer breaking various platforms.

Signed-off-by: Steven Barth <steven@midlink.org>

Log startup/shutdown to console

procd has the habit of logging startup/shutdown via
rcS to syslog, which is pointless in case of a
shutdown, and unlikely to be complete on a startup
(as syslog is not running). Write to the console
instead.

Signed-off-by: Michel Stam <m.stam@fugro.nl>
Signed-off-by: John Crispin <blogic@openwrt.org>

minor fixes to michels patches

Signed-off-by: John Crispin <blogic@openwrt.org>

Honour tty field in /etc/inittab

The problem was caused by procd not opening /dev/tty* (whichever was
specified for the ID field /etc/inittab), causing /proc/PID/fd to
point to /dev/console instead.

Signed-off-by: Michel Stam <m.stam@fugro.nl>

Fix ctrl+alt+del support

The previous patch did not catch SIGINT, which is used by the
kernel to indicate to the init process that the system should
reboot.

Signed-off-by: Michel Stam <m.stam@fugro.nl>

Show the shutdown sequence on the active virtual terminal

procd by default writes to /dev/console. When rebooting, this means that the
terminal on which the reboot sequence was started will not see what is going
on. This patch fixes that by reopening stdin, stdout and stderr to the console
device specified on the commandline, /dev/tty0 or /dev/console upon reboot.

Also, due to (probably) pivot-root, /proc/1/fd shows 1-3 pointing to
/console. This patch also fixes that.

Signed-off-by: Michel Stam <m.stam@fugro.nl>

Use one generic routine to access /proc/cmdline

Signed-off-by: Michel Stam <m.stam@fugro.nl>

make procd wait for ubus to come up

Signed-off-by: John Crispin <blogic@openwrt.org>

Fix scroll lock blocking procd

On x86, pressing the scrolllock button may effectively prevent procd from rebooting
the system. This happens because procd tries to write to /dev/console, which in that
situation is blocked, effectively blocking procd from rebooting the system.

This patch puts procd's stderr access into non-blocking, which will prevent the
boot from being stuck.

Signed-off-by: Michel Stam <m.stam@fugro.nl>

make procd handle ctrl+alt+del

Signed-off-by: John Crispin <blogic@openwrt.org>

Fix 'reboot' message when the system is powering down

While executing a system halt (via the powerbutton or otherwise),
the system displays rebooting, whereas it should display that
it is going to turn off.

Signed-off-by: Michel Stam <m.stam@fugro.nl>

Reboot busybox style via procd

It has been observed that, very rarely, the system does not reboot
when procd enters the shutdown state. Busybox seems to have an
obscure fix in its shutdown, where the parent (procd) process
is put in an infinite loop, and a special child is executed to
execute reboot(). This may very well be the cause.

Signed-off-by: Michel Stam <m.stam@fugro.nl>

Kill processes on shutdown

Procd as it currently is does not kill the running processes during shutdown.
As this might cause undesired behaviour, this should be implemented.
Implementation was taken from busybox 1.19.4

Signed-off-by: Michel Stam <m.stam@fugro.nl>

Fix procd not handling rapid reboot signals very well

When keeping ctrl-alt-del pressed, or when running;
while true; do
    /sbin/reboot
done
effectively the procd shutdown cycle gets into an undefined state,

Signed-off-by: Michel Stam <m.stam@fugro.nl>