lib/libpam/modules/pam_exec/pam_exec.c

   1 /*-
   2  * Copyright (c) 2001,2003 Networks Associates Technology, Inc.
   3  * All rights reserved.
   4  *
   5  * This software was developed for the FreeBSD Project by ThinkSec AS and
   6  * NAI Labs, the Security Research Division of Network Associates, Inc.
   7  * under DARPA/SPAWAR contract N66001-01-C-8035 ("CBOSS"), as part of the
   8  * DARPA CHATS research program.
   9  *
  10  * Redistribution and use in source and binary forms, with or without
  11  * modification, are permitted provided that the following conditions
  12  * are met:
  13  * 1. Redistributions of source code must retain the above copyright
  14  *    notice, this list of conditions and the following disclaimer.
  15  * 2. Redistributions in binary form must reproduce the above copyright
  16  *    notice, this list of conditions and the following disclaimer in the
  17  *    documentation and/or other materials provided with the distribution.
  18  * 3. The name of the author may not be used to endorse or promote
  19  *    products derived from this software without specific prior written
  20  *    permission.
  21  *
  22  * THIS SOFTWARE IS PROVIDED BY THE AUTHOR AND CONTRIBUTORS ``AS IS'' AND
  23  * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  24  * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
  25  * ARE DISCLAIMED.  IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE
  26  * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
  27  * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
  28  * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  29  * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
  30  * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
  31  * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  32  * SUCH DAMAGE.
  33  */
  34
  35 #include <sys/cdefs.h>
  36 __FBSDID("$FreeBSD$");
  37
  38 #include <sys/types.h>
  39 #include <sys/wait.h>
  40
  41 #include <errno.h>
  42 #include <stdio.h>
  43 #include <stdlib.h>
  44 #include <string.h>
  45 #include <unistd.h>
  46
  47 #include <security/pam_appl.h>
  48 #include <security/pam_modules.h>
  49 #include <security/openpam.h>
  50
  51 #define ENV_ITEM(n) { (n), #n }
  52 static struct {
  53         int item;
  54         const char *name;
  55 } env_items[] = {
  56         ENV_ITEM(PAM_SERVICE),
  57         ENV_ITEM(PAM_USER),
  58         ENV_ITEM(PAM_TTY),
  59         ENV_ITEM(PAM_RHOST),
  60         ENV_ITEM(PAM_RUSER),
  61 };
  62
  63 static int
  64 _pam_exec(pam_handle_t *pamh __unused, int flags __unused,
  65     int argc, const char *argv[])
  66 {
  67         int envlen, i, nitems, pam_err, status;
  68         char *env, **envlist, **tmp;
  69         volatile int childerr;
  70         pid_t pid;
  71
  72         if (argc < 1)
  73                 return (PAM_SERVICE_ERR);
  74
  75         /*
  76          * XXX For additional credit, divert child's stdin/stdout/stderr
  77          * to the conversation function.
  78          */
  79
  80         /*
  81          * Set up the child's environment list.  It consists of the PAM
  82          * environment, plus a few hand-picked PAM items.
  83          */
  84         envlist = pam_getenvlist(pamh);
  85         for (envlen = 0; envlist[envlen] != NULL; ++envlen)
  86                 /* nothing */ ;
  87         nitems = sizeof(env_items) / sizeof(*env_items);
  88         tmp = realloc(envlist, (envlen + nitems + 1) * sizeof(*envlist));
  89         if (tmp == NULL) {
  90                 openpam_free_envlist(envlist);
  91                 return (PAM_BUF_ERR);
  92         }
  93         envlist = tmp;
  94         for (i = 0; i < nitems; ++i) {
  95                 const void *item;
  96                 char *envstr;
  97
  98                 pam_err = pam_get_item(pamh, env_items[i].item, &item);
  99                 if (pam_err != PAM_SUCCESS || item == NULL)
 100                         continue;
 101                 asprintf(&envstr, "%s=%s", env_items[i].name, item);
 102                 if (envstr == NULL) {
 103                         openpam_free_envlist(envlist);
 104                         return (PAM_BUF_ERR);
 105                 }
 106                 envlist[envlen++] = envstr;
 107                 envlist[envlen] = NULL;
 108         }
 109
 110         /*
 111          * Fork and run the command.  By using vfork() instead of fork(),
 112          * we can distinguish between an execve() failure and a non-zero
 113          * exit code from the command.
 114          */
 115         childerr = 0;
 116         if ((pid = vfork()) == 0) {
 117                 execve(argv[0], (char * const *)argv, (char * const *)envlist);
 118                 childerr = errno;
 119                 _exit(1);
 120         }
 121         openpam_free_envlist(envlist);
 122         if (pid == -1) {
 123                 openpam_log(PAM_LOG_ERROR, "vfork(): %m");
 124                 return (PAM_SYSTEM_ERR);
 125         }
 126         if (waitpid(pid, &status, 0) == -1) {
 127                 openpam_log(PAM_LOG_ERROR, "waitpid(): %m");
 128                 return (PAM_SYSTEM_ERR);
 129         }
 130         if (childerr != 0) {
 131                 openpam_log(PAM_LOG_ERROR, "execve(): %m");
 132                 return (PAM_SYSTEM_ERR);
 133         }
 134         if (WIFSIGNALED(status)) {
 135                 openpam_log(PAM_LOG_ERROR, "%s caught signal %d%s",
 136                     argv[0], WTERMSIG(status),
 137                     WCOREDUMP(status) ? " (core dumped)" : "");
 138                 return (PAM_SYSTEM_ERR);
 139         }
 140         if (!WIFEXITED(status)) {
 141                 openpam_log(PAM_LOG_ERROR, "unknown status 0x%x", status);
 142                 return (PAM_SYSTEM_ERR);
 143         }
 144         if (WEXITSTATUS(status) != 0) {
 145                 openpam_log(PAM_LOG_ERROR, "%s returned code %d",
 146                     argv[0], WEXITSTATUS(status));
 147                 return (PAM_SYSTEM_ERR);
 148         }
 149         return (PAM_SUCCESS);
 150 }
 151
 152 PAM_EXTERN int
 153 pam_sm_authenticate(pam_handle_t *pamh, int flags,
 154     int argc, const char *argv[])
 155 {
 156
 157         return (_pam_exec(pamh, flags, argc, argv));
 158 }
 159
 160 PAM_EXTERN int
 161 pam_sm_setcred(pam_handle_t *pamh, int flags,
 162     int argc, const char *argv[])
 163 {
 164
 165         return (_pam_exec(pamh, flags, argc, argv));
 166 }
 167
 168 PAM_EXTERN int
 169 pam_sm_acct_mgmt(pam_handle_t *pamh, int flags,
 170     int argc, const char *argv[])
 171 {
 172
 173         return (_pam_exec(pamh, flags, argc, argv));
 174 }
 175
 176 PAM_EXTERN int
 177 pam_sm_open_session(pam_handle_t *pamh, int flags,
 178     int argc, const char *argv[])
 179 {
 180
 181         return (_pam_exec(pamh, flags, argc, argv));
 182 }
 183
 184 PAM_EXTERN int
 185 pam_sm_close_session(pam_handle_t *pamh, int flags,
 186     int argc, const char *argv[])
 187 {
 188
 189         return (_pam_exec(pamh, flags, argc, argv));
 190 }
 191
 192 PAM_EXTERN int
 193 pam_sm_chauthtok(pam_handle_t *pamh, int flags,
 194     int argc, const char *argv[])
 195 {
 196
 197         return (_pam_exec(pamh, flags, argc, argv));
 198 }
 199
 200 PAM_MODULE_ENTRY("pam_exec");