apparmor: Fix change_onexec when called from a confined task
authorJohn Johansen <john.johansen@canonical.com>
Tue, 27 Mar 2012 11:14:33 +0000 (04:14 -0700)
committerJames Morris <james.l.morris@oracle.com>
Tue, 27 Mar 2012 14:00:05 +0000 (01:00 +1100)
commit0421ea91ddc7895a5a68d3bc670ed4b8e6448a42
tree409b065611770dc4b69df1bb80100e001d52c36c
parente22057c8599373e5caef0bc42bdb95d2a361ab0d
apparmor: Fix change_onexec when called from a confined task

Fix failure in aa_change_onexec api when the request is made from a confined
task.  This failure was caused by two problems

 The AA_MAY_ONEXEC perm was not being mapped correctly for this case.

 The executable name was being checked as second time instead of using the
 requested onexec profile name, which may not be the same as the exec
 profile name. This mistake can not be exploited to grant extra permission
 because of the above flaw where the ONEXEC permission was not being mapped
 so it will not be granted.

BugLink: http://bugs.launchpad.net/bugs/963756
Signed-off-by: John Johansen <john.johansen@canonical.com>
Signed-off-by: James Morris <james.l.morris@oracle.com>
security/apparmor/domain.c
security/apparmor/file.c