Libseccomp: RFE: estender o suporte SCMP_FLTATR_API_SYSRAWRC para a API de notificação

Olá @alban.

Veja SCMP_FLTATR_API_SYSRAWRC na página de manual seccomp_attr_set(3) :

Um sinalizador para especificar se libseccomp deve passar códigos de erro do sistema de volta para o chamador em vez do padrão -ECANCELED. O padrão é desligado (valor == 0).

Forçamos -ECANCELED neste caso para garantir uma promessa de código de retorno estável na API libseccomp em diferentes versões do kernel/libc. Oferecemos o SCMP_FLTATR_API_SYSRAWRC para chamadores que ainda desejam ver o código de retorno real do kernel/libc, apenas esteja avisado que não garantimos um código de retorno estável se você habilitar esse atributo.

Vou encerrar esta edição como NOTABUG, mas sinta-se à vontade para continuar discutindo isso aqui se tiver dúvidas adicionais. Podemos reabrir se parecer que há um problema real que precisa ser resolvido.

Oi @pcmoore , obrigado pela resposta rápida.

Oferecemos o SCMP_FLTATR_API_SYSRAWRC para chamadores que ainda desejam ver o código de retorno real do kernel/libc

Mas as novas funções

• seccomp_notify_receive
• seccomp_notify_respond
• seccomp_notify_id_valid

estão usando _rc_filter() e não _rc_filter_sys() , então SCMP_FLTATR_API_SYSRAWRC não deve ter efeito, se não me engano.

Mas as novas funções... estão usando _rc_filter() e não _rc_filter_sys()...

Ah... desculpe por isso. Na verdade, é mais profundo do que o nível da API, procure em "system.c" e você verá que as chamadas de nível de sistema libseccomp não as propagam até as funções de nível de API. Olhando para as páginas de manual, parece que não fazemos nenhuma reclamação sobre SCMP_FLTATR_API_SYSRAWRC para a API de notificação (veja seccomp_load(3) para um contra-exemplo).

Vou em frente e reabrir isso como um RFE, já que atualmente não fazemos nenhuma reclamação sobre isso funcionar.

@drakenclimber Acho que este é o material v2.6.x (possivelmente v2.5.2), pois não quero retardar o lançamento da v2.5.1. Se você pensar de outra forma, deixe-me saber.

Obrigado!

Para constar, encontrei a solução alternativa no lado de Golang para poder distinguir ENOENT e EINTR, com este padrão de código:

-   if retCode := C.seccomp_notify_respond(C.int(fd), resp); retCode != 0 {
-       return errRc(retCode)
+   for {
+       retCode, errno := C.seccomp_notify_respond(C.int(fd), resp)
+       if errno == syscall.EINTR {
+           continue
+       }
+       if errno == syscall.ENOENT {
+           return errno
+       }
+       if retCode != 0 {
+           return errRc(retCode)
+       }
+       break
    }

Com isso, parece funcionar bem com libseccomp-2.5.0,