]> git.baikalelectronics.ru Git - kernel.git/commit
seccomp: introduce writer locking
authorKees Cook <keescook@chromium.org>
Fri, 27 Jun 2014 22:18:48 +0000 (15:18 -0700)
committerKees Cook <keescook@chromium.org>
Fri, 18 Jul 2014 19:13:39 +0000 (12:13 -0700)
commit001a8db873bb776d838bdc1a5aad80349e47ab37
tree3e6bbec7041ed70dc0d015b0e7d01f1dcfed9a37
parent42786264b940b4b9db72f5d757a397e0b78f1557
seccomp: introduce writer locking

Normally, task_struct.seccomp.filter is only ever read or modified by
the task that owns it (current). This property aids in fast access
during system call filtering as read access is lockless.

Updating the pointer from another task, however, opens up race
conditions. To allow cross-thread filter pointer updates, writes to the
seccomp fields are now protected by the sighand spinlock (which is shared
by all threads in the thread group). Read access remains lockless because
pointer updates themselves are atomic.  However, writes (or cloning)
often entail additional checking (like maximum instruction counts)
which require locking to perform safely.

In the case of cloning threads, the child is invisible to the system
until it enters the task list. To make sure a child can't be cloned from
a thread and left in a prior state, seccomp duplication is additionally
moved under the sighand lock. Then parent and child are certain have
the same seccomp state when they exit the lock.

Based on patches by Will Drewry and David Drysdale.

Signed-off-by: Kees Cook <keescook@chromium.org>
Reviewed-by: Oleg Nesterov <oleg@redhat.com>
Reviewed-by: Andy Lutomirski <luto@amacapital.net>
include/linux/seccomp.h
kernel/fork.c
kernel/seccomp.c