sys/sys/jail.h

   1 /*-
   2  * Copyright (c) 1999 Poul-Henning Kamp.
   3  * Copyright (c) 2009 James Gritton.
   4  * All rights reserved.
   5  *
   6  * Redistribution and use in source and binary forms, with or without
   7  * modification, are permitted provided that the following conditions
   8  * are met:
   9  * 1. Redistributions of source code must retain the above copyright
  10  *    notice, this list of conditions and the following disclaimer.
  11  * 2. Redistributions in binary form must reproduce the above copyright
  12  *    notice, this list of conditions and the following disclaimer in the
  13  *    documentation and/or other materials provided with the distribution.
  14  *
  15  * THIS SOFTWARE IS PROVIDED BY THE AUTHOR AND CONTRIBUTORS ``AS IS'' AND
  16  * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  17  * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
  18  * ARE DISCLAIMED.  IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE
  19  * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
  20  * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
  21  * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  22  * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
  23  * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
  24  * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  25  * SUCH DAMAGE.
  26  *
  27  * $FreeBSD$
  28  */
  29
  30 #ifndef _SYS_JAIL_H_
  31 #define _SYS_JAIL_H_
  32
  33 #ifdef _KERNEL
  34 struct jail_v0 {
  35         u_int32_t       version;
  36         char            *path;
  37         char            *hostname;
  38         u_int32_t       ip_number;
  39 };
  40 #endif
  41
  42 struct jail {
  43         uint32_t        version;
  44         char            *path;
  45         char            *hostname;
  46         char            *jailname;
  47         uint32_t        ip4s;
  48         uint32_t        ip6s;
  49         struct in_addr  *ip4;
  50         struct in6_addr *ip6;
  51 };
  52 #define JAIL_API_VERSION        2
  53
  54 /*
  55  * For all xprison structs, always keep the pr_version an int and
  56  * the first variable so userspace can easily distinguish them.
  57  */
  58 #ifndef _KERNEL
  59 struct xprison_v1 {
  60         int              pr_version;
  61         int              pr_id;
  62         char             pr_path[MAXPATHLEN];
  63         char             pr_host[MAXHOSTNAMELEN];
  64         u_int32_t        pr_ip;
  65 };
  66 #endif
  67
  68 struct xprison {
  69         int              pr_version;
  70         int              pr_id;
  71         int              pr_state;
  72         cpusetid_t       pr_cpusetid;
  73         char             pr_path[MAXPATHLEN];
  74         char             pr_host[MAXHOSTNAMELEN];
  75         char             pr_name[MAXHOSTNAMELEN];
  76         uint32_t         pr_ip4s;
  77         uint32_t         pr_ip6s;
  78 #if 0
  79         /*
  80          * sizeof(xprison) will be malloced + size needed for all
  81          * IPv4 and IPv6 addesses. Offsets are based numbers of addresses.
  82          */
  83         struct in_addr   pr_ip4[];
  84         struct in6_addr  pr_ip6[];
  85 #endif
  86 };
  87 #define XPRISON_VERSION         3
  88
  89 #define PRISON_STATE_INVALID    0
  90 #define PRISON_STATE_ALIVE      1
  91 #define PRISON_STATE_DYING      2
  92
  93 /*
  94  * Flags for jail_set and jail_get.
  95  */
  96 #define JAIL_CREATE     0x01    /* Create jail if it doesn't exist */
  97 #define JAIL_UPDATE     0x02    /* Update parameters of existing jail */
  98 #define JAIL_ATTACH     0x04    /* Attach to jail upon creation */
  99 #define JAIL_DYING      0x08    /* Allow getting a dying jail */
 100 #define JAIL_SET_MASK   0x0f
 101 #define JAIL_GET_MASK   0x08
 102
 103 #define JAIL_SYS_DISABLE        0
 104 #define JAIL_SYS_NEW            1
 105 #define JAIL_SYS_INHERIT        2
 106
 107 #ifndef _KERNEL
 108
 109 struct iovec;
 110
 111 int jail(struct jail *);
 112 int jail_set(struct iovec *, unsigned int, int);
 113 int jail_get(struct iovec *, unsigned int, int);
 114 int jail_attach(int);
 115 int jail_remove(int);
 116
 117 #else /* _KERNEL */
 118
 119 #include <sys/queue.h>
 120 #include <sys/sysctl.h>
 121 #include <sys/lock.h>
 122 #include <sys/mutex.h>
 123 #include <sys/_task.h>
 124
 125 #define JAIL_MAX        999999
 126
 127 #ifdef MALLOC_DECLARE
 128 MALLOC_DECLARE(M_PRISON);
 129 #endif
 130 #endif /* _KERNEL */
 131
 132 #if defined(_KERNEL) || defined(_WANT_PRISON)
 133
 134 #include <sys/osd.h>
 135
 136 #define HOSTUUIDLEN     64
 137
 138 struct racct;
 139
 140 /*
 141  * This structure describes a prison.  It is pointed to by all struct
 142  * ucreds's of the inmates.  pr_ref keeps track of them and is used to
 143  * delete the struture when the last inmate is dead.
 144  *
 145  * Lock key:
 146  *   (a) allprison_lock
 147  *   (p) locked by pr_mtx
 148  *   (c) set only during creation before the structure is shared, no mutex
 149  *       required to read
 150  *   (d) set only during destruction of jail, no mutex needed
 151  */
 152 struct prison {
 153         TAILQ_ENTRY(prison) pr_list;                    /* (a) all prisons */
 154         int              pr_id;                         /* (c) prison id */
 155         int              pr_ref;                        /* (p) refcount */
 156         int              pr_uref;                       /* (p) user (alive) refcount */
 157         unsigned         pr_flags;                      /* (p) PR_* flags */
 158         LIST_HEAD(, prison) pr_children;                /* (a) list of child jails */
 159         LIST_ENTRY(prison) pr_sibling;                  /* (a) next in parent's list */
 160         struct prison   *pr_parent;                     /* (c) containing jail */
 161         struct mtx       pr_mtx;
 162         struct task      pr_task;                       /* (d) destroy task */
 163         struct osd       pr_osd;                        /* (p) additional data */
 164         struct cpuset   *pr_cpuset;                     /* (p) cpuset */
 165         struct vnet     *pr_vnet;                       /* (c) network stack */
 166         struct vnode    *pr_root;                       /* (c) vnode to rdir */
 167         int              pr_ip4s;                       /* (p) number of v4 IPs */
 168         int              pr_ip6s;                       /* (p) number of v6 IPs */
 169         struct in_addr  *pr_ip4;                        /* (p) v4 IPs of jail */
 170         struct in6_addr *pr_ip6;                        /* (p) v6 IPs of jail */
 171         struct racct    *pr_racct;                      /* (c) resource accounting */
 172         void            *pr_sparep[3];
 173         int              pr_childcount;                 /* (a) number of child jails */
 174         int              pr_childmax;                   /* (p) maximum child jails */
 175         unsigned         pr_allow;                      /* (p) PR_ALLOW_* flags */
 176         int              pr_securelevel;                /* (p) securelevel */
 177         int              pr_enforce_statfs;             /* (p) statfs permission */
 178         int              pr_spare[5];
 179         unsigned long    pr_hostid;                     /* (p) jail hostid */
 180         char             pr_name[MAXHOSTNAMELEN];       /* (p) admin jail name */
 181         char             pr_path[MAXPATHLEN];           /* (c) chroot path */
 182         char             pr_hostname[MAXHOSTNAMELEN];   /* (p) jail hostname */
 183         char             pr_domainname[MAXHOSTNAMELEN]; /* (p) jail domainname */
 184         char             pr_hostuuid[HOSTUUIDLEN];      /* (p) jail hostuuid */
 185 };
 186 #endif /* _KERNEL || _WANT_PRISON */
 187
 188 #ifdef _KERNEL
 189 /* Flag bits set via options */
 190 #define PR_PERSIST      0x00000001      /* Can exist without processes */
 191 #define PR_HOST         0x00000002      /* Virtualize hostname et al */
 192 #define PR_IP4_USER     0x00000004      /* Restrict IPv4 addresses */
 193 #define PR_IP6_USER     0x00000008      /* Restrict IPv6 addresses */
 194 #define PR_VNET         0x00000010      /* Virtual network stack */
 195 #define PR_IP4_DISABLE  0x00000020      /* Disable IPv4 */
 196 #define PR_IP6_DISABLE  0x00000040      /* Disable IPv6 */
 197 #define PR_IP4_SADDRSEL 0x00000080      /* Do IPv4 src addr sel. or use the */
 198                                         /* primary jail address. */
 199 #define PR_IP6_SADDRSEL 0x00000100      /* Do IPv6 src addr sel. or use the */
 200                                         /* primary jail address. */
 201
 202 /* Internal flag bits */
 203 #define PR_REMOVE       0x01000000      /* In process of being removed */
 204 #define PR_IP4          0x02000000      /* IPv4 restricted or disabled */
 205                                         /* by this jail or an ancestor */
 206 #define PR_IP6          0x04000000      /* IPv6 restricted or disabled */
 207                                         /* by this jail or an ancestor */
 208
 209 /* Flags for pr_allow */
 210 #define PR_ALLOW_SET_HOSTNAME           0x0001
 211 #define PR_ALLOW_SYSVIPC                0x0002
 212 #define PR_ALLOW_RAW_SOCKETS            0x0004
 213 #define PR_ALLOW_CHFLAGS                0x0008
 214 #define PR_ALLOW_MOUNT                  0x0010
 215 #define PR_ALLOW_QUOTAS                 0x0020
 216 #define PR_ALLOW_SOCKET_AF              0x0040
 217 #define PR_ALLOW_ALL                    0x007f
 218
 219 /*
 220  * OSD methods
 221  */
 222 #define PR_METHOD_CREATE        0
 223 #define PR_METHOD_GET           1
 224 #define PR_METHOD_SET           2
 225 #define PR_METHOD_CHECK         3
 226 #define PR_METHOD_ATTACH        4
 227 #define PR_MAXMETHOD            5
 228
 229 /*
 230  * Lock/unlock a prison.
 231  * XXX These exist not so much for general convenience, but to be useable in
 232  *     the FOREACH_PRISON_DESCENDANT_LOCKED macro which can't handle them in
 233  *     non-function form as currently defined.
 234  */
 235 static __inline void
 236 prison_lock(struct prison *pr)
 237 {
 238
 239         mtx_lock(&pr->pr_mtx);
 240 }
 241
 242 static __inline void
 243 prison_unlock(struct prison *pr)
 244 {
 245
 246         mtx_unlock(&pr->pr_mtx);
 247 }
 248
 249 /* Traverse a prison's immediate children. */
 250 #define FOREACH_PRISON_CHILD(ppr, cpr)                                  \
 251         LIST_FOREACH(cpr, &(ppr)->pr_children, pr_sibling)
 252
 253 /*
 254  * Preorder traversal of all of a prison's descendants.
 255  * This ugly loop allows the macro to be followed by a single block
 256  * as expected in a looping primitive.
 257  */
 258 #define FOREACH_PRISON_DESCENDANT(ppr, cpr, descend)                    \
 259         for ((cpr) = (ppr), (descend) = 1;                              \
 260             ((cpr) = (((descend) && !LIST_EMPTY(&(cpr)->pr_children))   \
 261               ? LIST_FIRST(&(cpr)->pr_children)                         \
 262               : ((cpr) == (ppr)                                         \
 263                  ? NULL                                                 \
 264                  : (((descend) = LIST_NEXT(cpr, pr_sibling) != NULL)    \
 265                     ? LIST_NEXT(cpr, pr_sibling)                        \
 266                     : (cpr)->pr_parent))));)                            \
 267                 if (!(descend))                                         \
 268                         ;                                               \
 269                 else
 270
 271 /*
 272  * As above, but lock descendants on the way down and unlock on the way up.
 273  */
 274 #define FOREACH_PRISON_DESCENDANT_LOCKED(ppr, cpr, descend)             \
 275         for ((cpr) = (ppr), (descend) = 1;                              \
 276             ((cpr) = (((descend) && !LIST_EMPTY(&(cpr)->pr_children))   \
 277               ? LIST_FIRST(&(cpr)->pr_children)                         \
 278               : ((cpr) == (ppr)                                         \
 279                  ? NULL                                                 \
 280                  : ((prison_unlock(cpr),                                \
 281                     (descend) = LIST_NEXT(cpr, pr_sibling) != NULL)     \
 282                     ? LIST_NEXT(cpr, pr_sibling)                        \
 283                     : (cpr)->pr_parent))));)                            \
 284                 if ((descend) ? (prison_lock(cpr), 0) : 1)              \
 285                         ;                                               \
 286                 else
 287
 288 /*
 289  * As above, but also keep track of the level descended to.
 290  */
 291 #define FOREACH_PRISON_DESCENDANT_LOCKED_LEVEL(ppr, cpr, descend, level)\
 292         for ((cpr) = (ppr), (descend) = 1, (level) = 0;                 \
 293             ((cpr) = (((descend) && !LIST_EMPTY(&(cpr)->pr_children))   \
 294               ? (level++, LIST_FIRST(&(cpr)->pr_children))              \
 295               : ((cpr) == (ppr)                                         \
 296                  ? NULL                                                 \
 297                  : ((prison_unlock(cpr),                                \
 298                     (descend) = LIST_NEXT(cpr, pr_sibling) != NULL)     \
 299                     ? LIST_NEXT(cpr, pr_sibling)                        \
 300                     : (level--, (cpr)->pr_parent)))));)                 \
 301                 if ((descend) ? (prison_lock(cpr), 0) : 1)              \
 302                         ;                                               \
 303                 else
 304
 305 /*
 306  * Attributes of the physical system, and the root of the jail tree.
 307  */
 308 extern struct   prison prison0;
 309
 310 TAILQ_HEAD(prisonlist, prison);
 311 extern struct   prisonlist allprison;
 312 extern struct   sx allprison_lock;
 313
 314 /*
 315  * Sysctls to describe jail parameters.
 316  */
 317 SYSCTL_DECL(_security_jail_param);
 318
 319 #define SYSCTL_JAIL_PARAM(module, param, type, fmt, descr)              \
 320     SYSCTL_PROC(_security_jail_param ## module, OID_AUTO, param,        \
 321         (type) | CTLFLAG_MPSAFE, NULL, 0, sysctl_jail_param, fmt, descr)
 322 #define SYSCTL_JAIL_PARAM_STRING(module, param, access, len, descr)     \
 323     SYSCTL_PROC(_security_jail_param ## module, OID_AUTO, param,        \
 324         CTLTYPE_STRING | CTLFLAG_MPSAFE | (access), NULL, len,          \
 325         sysctl_jail_param, "A", descr)
 326 #define SYSCTL_JAIL_PARAM_STRUCT(module, param, access, len, fmt, descr)\
 327     SYSCTL_PROC(_security_jail_param ## module, OID_AUTO, param,        \
 328         CTLTYPE_STRUCT | CTLFLAG_MPSAFE | (access), NULL, len,          \
 329         sysctl_jail_param, fmt, descr)
 330 #define SYSCTL_JAIL_PARAM_NODE(module, descr)                           \
 331     SYSCTL_NODE(_security_jail_param, OID_AUTO, module, 0, 0, descr)
 332 #define SYSCTL_JAIL_PARAM_SYS_NODE(module, access, descr)               \
 333     SYSCTL_JAIL_PARAM_NODE(module, descr);                              \
 334     SYSCTL_JAIL_PARAM(_##module, , CTLTYPE_INT | (access), "E,jailsys", \
 335         descr)
 336
 337 /*
 338  * Kernel support functions for jail().
 339  */
 340 struct ucred;
 341 struct mount;
 342 struct sockaddr;
 343 struct statfs;
 344 int jailed(struct ucred *cred);
 345 int jailed_without_vnet(struct ucred *);
 346 void getcredhostname(struct ucred *, char *, size_t);
 347 void getcreddomainname(struct ucred *, char *, size_t);
 348 void getcredhostuuid(struct ucred *, char *, size_t);
 349 void getcredhostid(struct ucred *, unsigned long *);
 350 int prison_allow(struct ucred *, unsigned);
 351 int prison_check(struct ucred *cred1, struct ucred *cred2);
 352 int prison_owns_vnet(struct ucred *);
 353 int prison_canseemount(struct ucred *cred, struct mount *mp);
 354 void prison_enforce_statfs(struct ucred *cred, struct mount *mp,
 355     struct statfs *sp);
 356 struct prison *prison_find(int prid);
 357 struct prison *prison_find_child(struct prison *, int);
 358 struct prison *prison_find_name(struct prison *, const char *);
 359 int prison_flag(struct ucred *, unsigned);
 360 void prison_free(struct prison *pr);
 361 void prison_free_locked(struct prison *pr);
 362 void prison_hold(struct prison *pr);
 363 void prison_hold_locked(struct prison *pr);
 364 void prison_proc_hold(struct prison *);
 365 void prison_proc_free(struct prison *);
 366 int prison_ischild(struct prison *, struct prison *);
 367 int prison_equal_ip4(struct prison *, struct prison *);
 368 int prison_get_ip4(struct ucred *cred, struct in_addr *ia);
 369 int prison_local_ip4(struct ucred *cred, struct in_addr *ia);
 370 int prison_remote_ip4(struct ucred *cred, struct in_addr *ia);
 371 int prison_check_ip4(struct ucred *cred, struct in_addr *ia);
 372 int prison_saddrsel_ip4(struct ucred *, struct in_addr *);
 373 #ifdef INET6
 374 int prison_equal_ip6(struct prison *, struct prison *);
 375 int prison_get_ip6(struct ucred *, struct in6_addr *);
 376 int prison_local_ip6(struct ucred *, struct in6_addr *, int);
 377 int prison_remote_ip6(struct ucred *, struct in6_addr *);
 378 int prison_check_ip6(struct ucred *, struct in6_addr *);
 379 int prison_saddrsel_ip6(struct ucred *, struct in6_addr *);
 380 #endif
 381 int prison_check_af(struct ucred *cred, int af);
 382 int prison_if(struct ucred *cred, struct sockaddr *sa);
 383 char *prison_name(struct prison *, struct prison *);
 384 int prison_priv_check(struct ucred *cred, int priv);
 385 int sysctl_jail_param(SYSCTL_HANDLER_ARGS);
 386 void prison_racct_foreach(void (*callback)(struct racct *racct,
 387     void *arg2, void *arg3), void *arg2, void *arg3);
 388
 389 #endif /* _KERNEL */
 390 #endif /* !_SYS_JAIL_H_ */