Libseccomp: RFE: अधिसूचना API के लिए SCMP_FLTATR_API_SYSRAWRC समर्थन का विस्तार करें

को निर्मित 13 नव॰ 2020 · 5टिप्पणियाँ · स्रोत: seccomp/libseccomp

seccomp_notify_receive() का कार्यान्वयन बस उपयोग करता है:

        if (ioctl(fd, SECCOMP_IOCTL_NOTIF_RECV, req) < 0)
                return -ECANCELED;

errno में त्रुटि के बावजूद, यह -ECANCELED लौटाता है।

स्ट्रेस के साथ डिबगिंग करते समय, मुझे पता चला कि सिगर्ग सिग्नल के कारण ioctl ने EINTR लौटा दिया:

1448850 ioctl(7, SECCOMP_IOCTL_NOTIF_RECV <unfinished ...>
1448230 getpid()                        = 1448217
1448230 tgkill(1448217, 1448850, SIGURG) = 0
1448850 <... ioctl resumed>, 0x7fc65d49ecd0) = -1 EINTR (Interrupted system call)

सिग्नल SIGURL गोलंग रनटाइम द्वारा उत्पन्न होता है, https://go-review.googlesource.com/c/go/+/232862/ में विवरण देखें।
उस रिपोर्ट के अनुसार, EINTR प्राप्त करते समय syscall को फिर से जारी किया जाना चाहिए।
आदर्श रूप से libseccomp को इसका ख्याल रखना चाहिए, इसलिए यह उपयोगकर्ताओं के लिए पारदर्शी है।

वर्कअराउंड के रूप में, मैंने अपने प्रोग्राम में seccomp_notify_receive() को कॉल करके और seccomp_notify_respond() में ऐसा करने के लिए syscall को फिर से जारी करने का प्रयास किया क्योंकि इसका पैटर्न समान है:

        if (ioctl(fd, SECCOMP_IOCTL_NOTIF_SEND, resp) < 0)
                return -ECANCELED;

लेकिन कभी-कभी मुझे रिटर्न वैल्यू errno = ENOENT मिलता है:

1497880 ioctl(12, SECCOMP_IOCTL_NOTIF_SEND, 0x7f718fd28e10) = -1 ENOENT (No such file or directory)

libseccomp मुझे ENOENT के बीच अंतर करने की अनुमति नहीं देता है ( SECCOMP_IOCTL_NOTIF_SEND पर कॉल करने से ठीक पहले लक्ष्य प्रक्रिया बाधित हो गई है) और EINTR (seccomp एजेंट को SIGURG सिग्नल द्वारा बाधित किया गया था)।

इसके अतिरिक्त, मैं गोलांग से errno नहीं पढ़ सकता, इसलिए मेरे पास कोई समाधान नहीं हो सकता।

enhancement prioritmedium

स्रोत

alban

सबसे उपयोगी टिप्पणी

लेकिन नए फ़ंक्शन ... _rc_filter() का उपयोग कर रहे हैं न कि _rc_filter_sys() ...

आह ... इसके लिए खेद है। वास्तव में, यह एपीआई स्तर से अधिक गहराई तक जाता है, "system.c" में देखें और आप देखेंगे कि libseccomp सिस्टम स्तर कॉल एपीआई स्तर के कार्यों के लिए उन्हें प्रचारित नहीं करते हैं। मैनपेज को देखते हुए, ऐसा लगता है कि हम अधिसूचना एपीआई के लिए SCMP_FLTATR_API_SYSRAWRC के बारे में कोई दावा नहीं करते हैं (प्रति उदाहरण के लिए seccomp_load(3) देखें)।

मैं आगे बढ़ूंगा और इसे RFE के रूप में फिर से खोलूंगा क्योंकि हम वर्तमान में इस कार्य के बारे में कोई दावा नहीं करते हैं।

@drakenclimber मुझे लगता है कि यह v2.6.x (संभवतः v2.5.2) सामग्री है क्योंकि मैं v2.5.1 रिलीज़ को धीमा नहीं करना चाहता। अगर आपकी सोच अलग है, तो मुझे बताएं।

pcmoore 13 नव॰ 2020

👍2

सभी 5 टिप्पणियाँ

हाय @ अल्बान।

SCMP_FLTATR_API_SYSRAWRC को seccomp_attr_set(3) मैनपेज में देखें:

यह निर्दिष्ट करने के लिए एक फ़्लैग कि क्या libseccomp को सिस्टम त्रुटि कोड को डिफ़ॉल्ट -ECANCELED के बजाय कॉलर को वापस भेजना चाहिए। बंद करने के लिए डिफ़ॉल्ट (मान == 0)।

हम इस मामले में विभिन्न कर्नेल/libc संस्करणों में libseccomp API में एक स्थिर रिटर्न कोड वादा सुनिश्चित करने के लिए -ECANCELED को बाध्य करते हैं। हम कॉल करने वालों के लिए SCMP_FLTATR_API_SYSRAWRC की पेशकश करते हैं जो अभी भी वास्तविक कर्नेल/libc रिटर्न कोड देखना चाहते हैं, बस चेतावनी दी जाती है कि यदि आप उस विशेषता को सक्षम करते हैं तो हम एक स्थिर रिटर्न कोड की गारंटी नहीं देते हैं।

pcmoore 13 नव॰ 2020

मैं इस मुद्दे को NOTABUG के रूप में बंद करने जा रहा हूं, लेकिन अगर आपके पास अतिरिक्त प्रश्न हैं तो बेझिझक इस पर यहां चर्चा करना जारी रखें। हम फिर से खोल सकते हैं यदि ऐसा लगता है कि कोई वास्तविक समस्या है जिसे संबोधित करने की आवश्यकता है।

pcmoore 13 नव॰ 2020

हाय @pcmoore , त्वरित उत्तर के लिए धन्यवाद।

हम कॉल करने वालों के लिए SCMP_FLTATR_API_SYSRAWRC की पेशकश करते हैं जो अभी भी वास्तविक कर्नेल/libc रिटर्न कोड देखना चाहते हैं

लेकिन नए कार्य

seccomp_notify_receive
seccomp_notify_response
seccomp_notify_id_valid

_rc_filter() का उपयोग कर रहे हैं और _rc_filter_sys() का नहीं, इसलिए SCMP_FLTATR_API_SYSRAWRC का कोई प्रभाव नहीं होना चाहिए, अगर मैं गलत नहीं हूं।

alban 13 नव॰ 2020

लेकिन नए फ़ंक्शन ... _rc_filter() का उपयोग कर रहे हैं न कि _rc_filter_sys() ...

pcmoore 13 नव॰ 2020

👍2

धन्यवाद!

रिकॉर्ड के लिए, मैंने इस कोड पैटर्न के साथ ENOENT और EINTR को अलग करने में सक्षम होने के लिए गोलांग पक्ष में वर्कअराउंड पाया:

-   if retCode := C.seccomp_notify_respond(C.int(fd), resp); retCode != 0 {
-       return errRc(retCode)
+   for {
+       retCode, errno := C.seccomp_notify_respond(C.int(fd), resp)
+       if errno == syscall.EINTR {
+           continue
+       }
+       if errno == syscall.ENOENT {
+           return errno
+       }
+       if retCode != 0 {
+           return errRc(retCode)
+       }
+       break
    }

इसके साथ, यह libseccomp-2.5.0 के साथ ठीक काम करता प्रतीत होता है,

alban 13 नव॰ 2020

👍1

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Libseccomp: RFE: अधिसूचना API के लिए SCMP_FLTATR_API_SYSRAWRC समर्थन का विस्तार करें

सबसे उपयोगी टिप्पणी

सभी 5 टिप्पणियाँ

संबंधित मुद्दों