sys/kern/capabilities.conf

   1 ##
   2 ## Copyright (c) 2008-2010 Robert N. M. Watson
   3 ## All rights reserved.
   4 ##
   5 ## This software was developed at the University of Cambridge Computer
   6 ## Laboratory with support from a grant from Google, Inc.
   7 ##
   8 ## Redistribution and use in source and binary forms, with or without
   9 ## modification, are permitted provided that the following conditions
  10 ## are met:
  11 ## 1. Redistributions of source code must retain the above copyright
  12 ##    notice, this list of conditions and the following disclaimer.
  13 ## 2. Redistributions in binary form must reproduce the above copyright
  14 ##    notice, this list of conditions and the following disclaimer in the
  15 ##    documentation and/or other materials provided with the distribution.
  16 ##
  17 ## THIS SOFTWARE IS PROVIDED BY THE AUTHOR AND CONTRIBUTORS ``AS IS'' AND
  18 ## ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  19 ## IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
  20 ## ARE DISCLAIMED.  IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE
  21 ## FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
  22 ## DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
  23 ## OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  24 ## HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
  25 ## LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
  26 ## OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  27 ## SUCH DAMAGE.
  28 ##
  29 ## List of system calls enabled in capability mode, one name per line.
  30 ##
  31 ## Notes:
  32 ## - sys_exit(2), abort2(2) and close(2) are very important.
  33 ## - Sorted alphabetically, please keep it that way.
  34 ##
  35 ## $FreeBSD$
  36 ##
  37
  38 ##
  39 ## Allow ACL and MAC label operations by file descriptor, subject to
  40 ## capability rights.  Allow MAC label operations on the current process but
  41 ## we will need to scope __mac_get_pid(2).
  42 ##
  43 __acl_aclcheck_fd
  44 __acl_delete_fd
  45 __acl_get_fd
  46 __acl_set_fd
  47 __mac_get_fd
  48 #__mac_get_pid
  49 __mac_get_proc
  50 __mac_set_fd
  51 __mac_set_proc
  52
  53 ##
  54 ## Allow sysctl(2) as we scope internal to the call; this is a global
  55 ## namespace, but there are several critical sysctls required for almost
  56 ## anything to run, such as hw.pagesize.  For now that policy lives in the
  57 ## kernel for performance and simplicity, but perhaps it could move to a
  58 ## proxying daemon in userspace.
  59 ##
  60 __sysctl
  61
  62 ##
  63 ## Allow umtx operations as these are scoped by address space.
  64 ##
  65 ## XXRW: Need to check this very carefully.
  66 ##
  67 _umtx_lock
  68 _umtx_op
  69 _umtx_unlock
  70
  71 ##
  72 ## Allow process termination using abort2(2).
  73 ##
  74 abort2
  75
  76 ##
  77 ## Allow accept(2) since it doesn't manipulate namespaces directly, rather
  78 ## relies on existing bindings on a socket, subject to capability rights.
  79 ##
  80 accept
  81 accept4
  82
  83 ##
  84 ## Allow AIO operations by file descriptor, subject to capability rights.
  85 ##
  86 aio_cancel
  87 aio_error
  88 aio_fsync
  89 aio_read
  90 aio_return
  91 aio_suspend
  92 aio_waitcomplete
  93 aio_write
  94
  95 ##
  96 ## audit(2) is a global operation, submitting to the global trail, but it is
  97 ## controlled by privilege, and it might be useful to be able to submit
  98 ## records from sandboxes.  For now, disallow, but we may want to think about
  99 ## providing some sort of proxy service for this.
 100 ##
 101 #audit
 102
 103 ##
 104 ## Allow bindat(2).
 105 ##
 106 bindat
 107
 108 ##
 109 ## Allow capability mode and capability system calls.
 110 ##
 111 cap_enter
 112 cap_fcntls_get
 113 cap_fcntls_limit
 114 cap_getmode
 115 cap_ioctls_get
 116 cap_ioctls_limit
 117 __cap_rights_get
 118 cap_rights_limit
 119
 120 ##
 121 ## Allow read-only clock operations.
 122 ##
 123 clock_getres
 124 clock_gettime
 125
 126 ##
 127 ## Always allow file descriptor close(2).
 128 ##
 129 close
 130 closefrom
 131
 132 ##
 133 ## Allow connectat(2).
 134 ##
 135 connectat
 136
 137 ##
 138 ## cpuset(2) and related calls require scoping by process, but should
 139 ## eventually be allowed, at least in the current process case.
 140 ##
 141 #cpuset
 142 #cpuset_getaffinity
 143 #cpuset_getid
 144 #cpuset_setaffinity
 145 #cpuset_setid
 146
 147 ##
 148 ## Always allow dup(2) and dup2(2) manipulation of the file descriptor table.
 149 ##
 150 dup
 151 dup2
 152
 153 ##
 154 ## Allow extended attribute operations by file descriptor, subject to
 155 ## capability rights.
 156 ##
 157 extattr_delete_fd
 158 extattr_get_fd
 159 extattr_list_fd
 160 extattr_set_fd
 161
 162 ##
 163 ## Allow changing file flags, mode, and owner by file descriptor, subject to
 164 ## capability rights.
 165 ##
 166 fchflags
 167 fchmod
 168 fchown
 169
 170 ##
 171 ## For now, allow fcntl(2), subject to capability rights, but this probably
 172 ## needs additional scoping.
 173 ##
 174 fcntl
 175
 176 ##
 177 ## Allow fexecve(2), subject to capability rights.  We perform some scoping,
 178 ## such as disallowing privilege escalation.
 179 ##
 180 fexecve
 181
 182 ##
 183 ## Allow flock(2), subject to capability rights.
 184 ##
 185 flock
 186
 187 ##
 188 ## Allow fork(2), even though it returns pids -- some applications seem to
 189 ## prefer this interface.
 190 ##
 191 fork
 192
 193 ##
 194 ## Allow fpathconf(2), subject to capability rights.
 195 ##
 196 fpathconf
 197
 198 ##
 199 ## Allow various file descriptor-based I/O operations, subject to capability
 200 ## rights.
 201 ##
 202 freebsd6_ftruncate
 203 freebsd6_lseek
 204 freebsd6_mmap
 205 freebsd6_pread
 206 freebsd6_pwrite
 207
 208 ##
 209 ## Allow querying file and file system state with fstat(2) and fstatfs(2),
 210 ## subject to capability rights.
 211 ##
 212 fstat
 213 fstatfs
 214
 215 ##
 216 ## Allow further file descriptor-based I/O operations, subject to capability
 217 ## rights.
 218 ##
 219 fsync
 220 ftruncate
 221
 222 ##
 223 ## Allow futimes(2), subject to capability rights.
 224 ##
 225 futimes
 226
 227 ##
 228 ## Allow querying process audit state, subject to normal access control.
 229 ##
 230 getaudit
 231 getaudit_addr
 232 getauid
 233
 234 ##
 235 ## Allow thread context management with getcontext(2).
 236 ##
 237 getcontext
 238
 239 ##
 240 ## Allow directory I/O on a file descriptor, subject to capability rights.
 241 ## Originally we had separate capabilities for directory-specific read
 242 ## operations, but on BSD we allow reading the raw directory data, so we just
 243 ## rely on CAP_READ now.
 244 ##
 245 getdents
 246 getdirentries
 247
 248 ##
 249 ## Allow querying certain trivial global state.
 250 ##
 251 getdomainname
 252
 253 ##
 254 ## Allow querying current process credential state.
 255 ##
 256 getegid
 257 geteuid
 258
 259 ##
 260 ## Allow querying certain trivial global state.
 261 ##
 262 gethostid
 263 gethostname
 264
 265 ##
 266 ## Allow querying per-process timer.
 267 ##
 268 getitimer
 269
 270 ##
 271 ## Allow querying current process credential state.
 272 ##
 273 getgid
 274 getgroups
 275 getlogin
 276
 277 ##
 278 ## Allow querying certain trivial global state.
 279 ##
 280 getpagesize
 281 getpeername
 282
 283 ##
 284 ## Allow querying certain per-process scheduling, resource limit, and
 285 ## credential state.
 286 ##
 287 ## XXXRW: getpgid(2) needs scoping.  It's not clear if it's worth scoping
 288 ## getppid(2).  getpriority(2) needs scoping.  getrusage(2) needs scoping.
 289 ## getsid(2) needs scoping.
 290 ##
 291 getpgid
 292 getpgrp
 293 getpid
 294 getppid
 295 getpriority
 296 getresgid
 297 getresuid
 298 getrlimit
 299 getrusage
 300 getsid
 301
 302 ##
 303 ## Allow querying socket state, subject to capability rights.
 304 ##
 305 ## XXXRW: getsockopt(2) may need more attention.
 306 ##
 307 getsockname
 308 getsockopt
 309
 310 ##
 311 ## Allow querying the global clock.
 312 ##
 313 gettimeofday
 314
 315 ##
 316 ## Allow querying current process credential state.
 317 ##
 318 getuid
 319
 320 ##
 321 ## Allow ioctl(2), which hopefully will be limited by applications only to
 322 ## required commands with cap_ioctls_limit(2) syscall.
 323 ##
 324 ioctl
 325
 326 ##
 327 ## Allow querying current process credential state.
 328 ##
 329 issetugid
 330
 331 ##
 332 ## Allow kevent(2), as we will authorize based on capability rights on the
 333 ## target descriptor.
 334 ##
 335 kevent
 336
 337 ##
 338 ## Allow kill(2), as we allow the process to send signals only to himself.
 339 ##
 340 kill
 341
 342 ##
 343 ## Allow message queue operations on file descriptors, subject to capability
 344 ## rights.
 345 ##
 346 kmq_notify
 347 kmq_setattr
 348 kmq_timedreceive
 349 kmq_timedsend
 350
 351 ##
 352 ## Allow kqueue(2), we will control use.
 353 ##
 354 kqueue
 355
 356 ##
 357 ## Allow managing per-process timers.
 358 ##
 359 ktimer_create
 360 ktimer_delete
 361 ktimer_getoverrun
 362 ktimer_gettime
 363 ktimer_settime
 364
 365 ##
 366 ## We can't allow ktrace(2) because it relies on a global namespace, but we
 367 ## might want to introduce an fktrace(2) of some sort.
 368 ##
 369 #ktrace
 370
 371 ##
 372 ## Allow AIO operations by file descriptor, subject to capability rights.
 373 ##
 374 lio_listio
 375
 376 ##
 377 ## Allow listen(2), subject to capability rights.
 378 ##
 379 ## XXXRW: One might argue this manipulates a global namespace.
 380 ##
 381 listen
 382
 383 ##
 384 ## Allow I/O-related file descriptors, subject to capability rights.
 385 ##
 386 lseek
 387
 388 ##
 389 ## Allow simple VM operations on the current process.
 390 ##
 391 madvise
 392 mincore
 393 minherit
 394 mlock
 395 mlockall
 396
 397 ##
 398 ## Allow memory mapping a file descriptor, and updating protections, subject
 399 ## to capability rights.
 400 ##
 401 mmap
 402 mprotect
 403
 404 ##
 405 ## Allow simple VM operations on the current process.
 406 ##
 407 msync
 408 munlock
 409 munlockall
 410 munmap
 411
 412 ##
 413 ## Allow the current process to sleep.
 414 ##
 415 nanosleep
 416
 417 ##
 418 ## Allow querying the global clock.
 419 ##
 420 ntp_gettime
 421
 422 ##
 423 ## Allow AIO operations by file descriptor, subject to capability rights.
 424 ##
 425 oaio_read
 426 oaio_write
 427
 428 ##
 429 ## Allow simple VM operations on the current process.
 430 ##
 431 obreak
 432
 433 ##
 434 ## Allow AIO operations by file descriptor, subject to capability rights.
 435 ##
 436 olio_listio
 437
 438 ##
 439 ## Operations relative to directory capabilities.
 440 ##
 441 chflagsat
 442 faccessat
 443 fchmodat
 444 fchownat
 445 fstatat
 446 futimesat
 447 linkat
 448 mkdirat
 449 mkfifoat
 450 mknodat
 451 openat
 452 readlinkat
 453 renameat
 454 symlinkat
 455 unlinkat
 456
 457 ##
 458 ## Allow entry into open(2). This system call will fail, since access to the
 459 ## global file namespace has been disallowed, but allowing entry into the
 460 ## syscall means that an audit trail will be generated (which is also very
 461 ## useful for debugging).
 462 ##
 463 open
 464
 465 ##
 466 ## Allow poll(2), which will be scoped by capability rights.
 467 ##
 468 ## XXXRW: Perhaps we don't need the OpenBSD version?
 469 ## XXXRW: We don't yet do that scoping.
 470 ##
 471 openbsd_poll
 472
 473 ##
 474 ## Process descriptor-related system calls are allowed.
 475 ##
 476 pdfork
 477 pdgetpid
 478 pdkill
 479 #pdwait4        # not yet implemented
 480
 481 ##
 482 ## Allow pipe(2).
 483 ##
 484 pipe
 485 pipe2
 486
 487 ##
 488 ## Allow poll(2), which will be scoped by capability rights.
 489 ## XXXRW: We don't yet do that scoping.
 490 ##
 491 poll
 492
 493 ##
 494 ## Allow I/O-related file descriptors, subject to capability rights.
 495 ##
 496 pread
 497 preadv
 498
 499 ##
 500 ## Allow access to profiling state on the current process.
 501 ##
 502 profil
 503
 504 ##
 505 ## Disallow ptrace(2) for now, but we do need debugging facilities in
 506 ## capability mode, so we will want to revisit this, possibly by scoping its
 507 ## operation.
 508 ##
 509 #ptrace
 510
 511 ##
 512 ## Allow I/O-related file descriptors, subject to capability rights.
 513 ##
 514 pwrite
 515 pwritev
 516 read
 517 readv
 518 recv
 519 recvfrom
 520 recvmsg
 521
 522 ##
 523 ## Allow real-time scheduling primitives to be used.
 524 ##
 525 ## XXXRW: These require scoping.
 526 ##
 527 rtprio
 528 rtprio_thread
 529
 530 ##
 531 ## Allow simple VM operations on the current process.
 532 ##
 533 sbrk
 534
 535 ##
 536 ## Allow querying trivial global scheduler state.
 537 ##
 538 sched_get_priority_max
 539 sched_get_priority_min
 540
 541 ##
 542 ## Allow various thread/process scheduler operations.
 543 ##
 544 ## XXXRW: Some of these require further scoping.
 545 ##
 546 sched_getparam
 547 sched_getscheduler
 548 sched_rr_get_interval
 549 sched_setparam
 550 sched_setscheduler
 551 sched_yield
 552
 553 ##
 554 ## Allow I/O-related file descriptors, subject to capability rights.
 555 ##
 556 sctp_generic_recvmsg
 557 sctp_generic_sendmsg
 558 sctp_generic_sendmsg_iov
 559 sctp_peeloff
 560
 561 ##
 562 ## Allow pselect(2) and select(2), which will be scoped by capability rights.
 563 ##
 564 ## XXXRW: But is it?
 565 ##
 566 pselect
 567 select
 568
 569 ##
 570 ## Allow I/O-related file descriptors, subject to capability rights.  Use of
 571 ## explicit addresses here is restricted by the system calls themselves.
 572 ##
 573 send
 574 sendfile
 575 sendmsg
 576 sendto
 577
 578 ##
 579 ## Allow setting per-process audit state, which is controlled separately by
 580 ## privileges.
 581 ##
 582 setaudit
 583 setaudit_addr
 584 setauid
 585
 586 ##
 587 ## Allow setting thread context.
 588 ##
 589 setcontext
 590
 591 ##
 592 ## Allow setting current process credential state, which is controlled
 593 ## separately by privilege.
 594 ##
 595 setegid
 596 seteuid
 597 setgid
 598
 599 ##
 600 ## Allow use of the process interval timer.
 601 ##
 602 setitimer
 603
 604 ##
 605 ## Allow setpriority(2).
 606 ##
 607 ## XXXRW: Requires scoping.
 608 ##
 609 setpriority
 610
 611 ##
 612 ## Allow setting current process credential state, which is controlled
 613 ## separately by privilege.
 614 ##
 615 setregid
 616 setresgid
 617 setresuid
 618 setreuid
 619
 620 ##
 621 ## Allow setting process resource limits with setrlimit(2).
 622 ##
 623 setrlimit
 624
 625 ##
 626 ## Allow creating a new session with setsid(2).
 627 ##
 628 setsid
 629
 630 ##
 631 ## Allow setting socket options with setsockopt(2), subject to capability
 632 ## rights.
 633 ##
 634 ## XXXRW: Might require scoping.
 635 ##
 636 setsockopt
 637
 638 ##
 639 ## Allow setting current process credential state, which is controlled
 640 ## separately by privilege.
 641 ##
 642 setuid
 643
 644 ##
 645 ## shm_open(2) is scoped so as to allow only access to new anonymous objects.
 646 ##
 647 shm_open
 648
 649 ##
 650 ## Allow I/O-related file descriptors, subject to capability rights.
 651 ##
 652 shutdown
 653
 654 ##
 655 ## Allow signal control on current process.
 656 ##
 657 sigaction
 658 sigaltstack
 659 sigblock
 660 sigpending
 661 sigprocmask
 662 sigqueue
 663 sigreturn
 664 sigsetmask
 665 sigstack
 666 sigsuspend
 667 sigtimedwait
 668 sigvec
 669 sigwaitinfo
 670 sigwait
 671
 672 ##
 673 ## Allow creating new socket pairs with socket(2) and socketpair(2).
 674 ##
 675 socket
 676 socketpair
 677
 678 ##
 679 ## Allow simple VM operations on the current process.
 680 ##
 681 ## XXXRW: Kernel doesn't implement this, so drop?
 682 ##
 683 sstk
 684
 685 ##
 686 ## Do allow sync(2) for now, but possibly shouldn't.
 687 ##
 688 sync
 689
 690 ##
 691 ## Always allow process termination with sys_exit(2).
 692 ##
 693 sys_exit
 694
 695 ##
 696 ## sysarch(2) does rather diverse things, but is required on at least i386
 697 ## in order to configure per-thread data.  As such, it's scoped on each
 698 ## architecture.
 699 ##
 700 sysarch
 701
 702 ##
 703 ## Allow thread operations operating only on current process.
 704 ##
 705 thr_create
 706 thr_exit
 707 thr_kill
 708
 709 ##
 710 ## Disallow thr_kill2(2), as it may operate beyond the current process.
 711 ##
 712 ## XXXRW: Requires scoping.
 713 ##
 714 #thr_kill2
 715
 716 ##
 717 ## Allow thread operations operating only on current process.
 718 ##
 719 thr_new
 720 thr_self
 721 thr_set_name
 722 thr_suspend
 723 thr_wake
 724
 725 ##
 726 ## Allow manipulation of the current process umask with umask(2).
 727 ##
 728 umask
 729
 730 ##
 731 ## Allow submitting of process trace entries with utrace(2).
 732 ##
 733 utrace
 734
 735 ##
 736 ## Allow generating UUIDs with uuidgen(2).
 737 ##
 738 uuidgen
 739
 740 ##
 741 ## Allow I/O-related file descriptors, subject to capability rights.
 742 ##
 743 write
 744 writev
 745
 746 ##
 747 ## Allow processes to yield(2).
 748 ##
 749 yield