netlabel: out of bound access in cipso_v4_validate()
[pandora-kernel.git] / include / net / cipso_ipv4.h
1 /*
2  * CIPSO - Commercial IP Security Option
3  *
4  * This is an implementation of the CIPSO 2.2 protocol as specified in
5  * draft-ietf-cipso-ipsecurity-01.txt with additional tag types as found in
6  * FIPS-188, copies of both documents can be found in the Documentation
7  * directory.  While CIPSO never became a full IETF RFC standard many vendors
8  * have chosen to adopt the protocol and over the years it has become a
9  * de-facto standard for labeled networking.
10  *
11  * Author: Paul Moore <paul@paul-moore.com>
12  *
13  */
14
15 /*
16  * (c) Copyright Hewlett-Packard Development Company, L.P., 2006
17  *
18  * This program is free software;  you can redistribute it and/or modify
19  * it under the terms of the GNU General Public License as published by
20  * the Free Software Foundation; either version 2 of the License, or
21  * (at your option) any later version.
22  *
23  * This program is distributed in the hope that it will be useful,
24  * but WITHOUT ANY WARRANTY;  without even the implied warranty of
25  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See
26  * the GNU General Public License for more details.
27  *
28  * You should have received a copy of the GNU General Public License
29  * along with this program;  if not, write to the Free Software
30  * Foundation, Inc., 59 Temple Place, Suite 330, Boston, MA 02111-1307 USA
31  *
32  */
33
34 #ifndef _CIPSO_IPV4_H
35 #define _CIPSO_IPV4_H
36
37 #include <linux/types.h>
38 #include <linux/rcupdate.h>
39 #include <linux/list.h>
40 #include <linux/net.h>
41 #include <linux/skbuff.h>
42 #include <net/netlabel.h>
43 #include <net/request_sock.h>
44 #include <linux/atomic.h>
45 #include <asm/unaligned.h>
46
47 /* known doi values */
48 #define CIPSO_V4_DOI_UNKNOWN          0x00000000
49
50 /* standard tag types */
51 #define CIPSO_V4_TAG_INVALID          0
52 #define CIPSO_V4_TAG_RBITMAP          1
53 #define CIPSO_V4_TAG_ENUM             2
54 #define CIPSO_V4_TAG_RANGE            5
55 #define CIPSO_V4_TAG_PBITMAP          6
56 #define CIPSO_V4_TAG_FREEFORM         7
57
58 /* non-standard tag types (tags > 127) */
59 #define CIPSO_V4_TAG_LOCAL            128
60
61 /* doi mapping types */
62 #define CIPSO_V4_MAP_UNKNOWN          0
63 #define CIPSO_V4_MAP_TRANS            1
64 #define CIPSO_V4_MAP_PASS             2
65 #define CIPSO_V4_MAP_LOCAL            3
66
67 /* limits */
68 #define CIPSO_V4_MAX_REM_LVLS         255
69 #define CIPSO_V4_INV_LVL              0x80000000
70 #define CIPSO_V4_MAX_LOC_LVLS         (CIPSO_V4_INV_LVL - 1)
71 #define CIPSO_V4_MAX_REM_CATS         65534
72 #define CIPSO_V4_INV_CAT              0x80000000
73 #define CIPSO_V4_MAX_LOC_CATS         (CIPSO_V4_INV_CAT - 1)
74
75 /*
76  * CIPSO DOI definitions
77  */
78
79 /* DOI definition struct */
80 #define CIPSO_V4_TAG_MAXCNT           5
81 struct cipso_v4_doi {
82         u32 doi;
83         u32 type;
84         union {
85                 struct cipso_v4_std_map_tbl *std;
86         } map;
87         u8 tags[CIPSO_V4_TAG_MAXCNT];
88
89         atomic_t refcount;
90         struct list_head list;
91         struct rcu_head rcu;
92 };
93
94 /* Standard CIPSO mapping table */
95 /* NOTE: the highest order bit (i.e. 0x80000000) is an 'invalid' flag, if the
96  *       bit is set then consider that value as unspecified, meaning the
97  *       mapping for that particular level/category is invalid */
98 struct cipso_v4_std_map_tbl {
99         struct {
100                 u32 *cipso;
101                 u32 *local;
102                 u32 cipso_size;
103                 u32 local_size;
104         } lvl;
105         struct {
106                 u32 *cipso;
107                 u32 *local;
108                 u32 cipso_size;
109                 u32 local_size;
110         } cat;
111 };
112
113 /*
114  * Sysctl Variables
115  */
116
117 #ifdef CONFIG_NETLABEL
118 extern int cipso_v4_cache_enabled;
119 extern int cipso_v4_cache_bucketsize;
120 extern int cipso_v4_rbm_optfmt;
121 extern int cipso_v4_rbm_strictvalid;
122 #endif
123
124 /*
125  * Helper Functions
126  */
127
128 #define CIPSO_V4_OPTEXIST(x) (IPCB(x)->opt.cipso != 0)
129 #define CIPSO_V4_OPTPTR(x) (skb_network_header(x) + IPCB(x)->opt.cipso)
130
131 /*
132  * DOI List Functions
133  */
134
135 #ifdef CONFIG_NETLABEL
136 int cipso_v4_doi_add(struct cipso_v4_doi *doi_def,
137                      struct netlbl_audit *audit_info);
138 void cipso_v4_doi_free(struct cipso_v4_doi *doi_def);
139 int cipso_v4_doi_remove(u32 doi, struct netlbl_audit *audit_info);
140 struct cipso_v4_doi *cipso_v4_doi_getdef(u32 doi);
141 void cipso_v4_doi_putdef(struct cipso_v4_doi *doi_def);
142 int cipso_v4_doi_walk(u32 *skip_cnt,
143                      int (*callback) (struct cipso_v4_doi *doi_def, void *arg),
144                      void *cb_arg);
145 #else
146 static inline int cipso_v4_doi_add(struct cipso_v4_doi *doi_def,
147                                    struct netlbl_audit *audit_info)
148 {
149         return -ENOSYS;
150 }
151
152 static inline void cipso_v4_doi_free(struct cipso_v4_doi *doi_def)
153 {
154         return;
155 }
156
157 static inline int cipso_v4_doi_remove(u32 doi,
158                                       struct netlbl_audit *audit_info)
159 {
160         return 0;
161 }
162
163 static inline struct cipso_v4_doi *cipso_v4_doi_getdef(u32 doi)
164 {
165         return NULL;
166 }
167
168 static inline int cipso_v4_doi_walk(u32 *skip_cnt,
169                      int (*callback) (struct cipso_v4_doi *doi_def, void *arg),
170                      void *cb_arg)
171 {
172         return 0;
173 }
174
175 static inline int cipso_v4_doi_domhsh_add(struct cipso_v4_doi *doi_def,
176                                           const char *domain)
177 {
178         return -ENOSYS;
179 }
180
181 static inline int cipso_v4_doi_domhsh_remove(struct cipso_v4_doi *doi_def,
182                                              const char *domain)
183 {
184         return 0;
185 }
186 #endif /* CONFIG_NETLABEL */
187
188 /*
189  * Label Mapping Cache Functions
190  */
191
192 #ifdef CONFIG_NETLABEL
193 void cipso_v4_cache_invalidate(void);
194 int cipso_v4_cache_add(const struct sk_buff *skb,
195                        const struct netlbl_lsm_secattr *secattr);
196 #else
197 static inline void cipso_v4_cache_invalidate(void)
198 {
199         return;
200 }
201
202 static inline int cipso_v4_cache_add(const struct sk_buff *skb,
203                                      const struct netlbl_lsm_secattr *secattr)
204 {
205         return 0;
206 }
207 #endif /* CONFIG_NETLABEL */
208
209 /*
210  * Protocol Handling Functions
211  */
212
213 #ifdef CONFIG_NETLABEL
214 void cipso_v4_error(struct sk_buff *skb, int error, u32 gateway);
215 int cipso_v4_sock_setattr(struct sock *sk,
216                           const struct cipso_v4_doi *doi_def,
217                           const struct netlbl_lsm_secattr *secattr);
218 void cipso_v4_sock_delattr(struct sock *sk);
219 int cipso_v4_sock_getattr(struct sock *sk, struct netlbl_lsm_secattr *secattr);
220 int cipso_v4_req_setattr(struct request_sock *req,
221                          const struct cipso_v4_doi *doi_def,
222                          const struct netlbl_lsm_secattr *secattr);
223 void cipso_v4_req_delattr(struct request_sock *req);
224 int cipso_v4_skbuff_setattr(struct sk_buff *skb,
225                             const struct cipso_v4_doi *doi_def,
226                             const struct netlbl_lsm_secattr *secattr);
227 int cipso_v4_skbuff_delattr(struct sk_buff *skb);
228 int cipso_v4_skbuff_getattr(const struct sk_buff *skb,
229                             struct netlbl_lsm_secattr *secattr);
230 int cipso_v4_validate(const struct sk_buff *skb, unsigned char **option);
231 #else
232 static inline void cipso_v4_error(struct sk_buff *skb,
233                                   int error,
234                                   u32 gateway)
235 {
236         return;
237 }
238
239 static inline int cipso_v4_sock_setattr(struct sock *sk,
240                                       const struct cipso_v4_doi *doi_def,
241                                       const struct netlbl_lsm_secattr *secattr)
242 {
243         return -ENOSYS;
244 }
245
246 static inline void cipso_v4_sock_delattr(struct sock *sk)
247 {
248 }
249
250 static inline int cipso_v4_sock_getattr(struct sock *sk,
251                                         struct netlbl_lsm_secattr *secattr)
252 {
253         return -ENOSYS;
254 }
255
256 static inline int cipso_v4_req_setattr(struct request_sock *req,
257                                        const struct cipso_v4_doi *doi_def,
258                                        const struct netlbl_lsm_secattr *secattr)
259 {
260         return -ENOSYS;
261 }
262
263 static inline void cipso_v4_req_delattr(struct request_sock *req)
264 {
265         return;
266 }
267
268 static inline int cipso_v4_skbuff_setattr(struct sk_buff *skb,
269                                       const struct cipso_v4_doi *doi_def,
270                                       const struct netlbl_lsm_secattr *secattr)
271 {
272         return -ENOSYS;
273 }
274
275 static inline int cipso_v4_skbuff_delattr(struct sk_buff *skb)
276 {
277         return -ENOSYS;
278 }
279
280 static inline int cipso_v4_skbuff_getattr(const struct sk_buff *skb,
281                                           struct netlbl_lsm_secattr *secattr)
282 {
283         return -ENOSYS;
284 }
285
286 static inline int cipso_v4_validate(const struct sk_buff *skb,
287                                     unsigned char **option)
288 {
289         unsigned char *opt = *option;
290         unsigned char err_offset = 0;
291         u8 opt_len = opt[1];
292         u8 opt_iter;
293         u8 tag_len;
294
295         if (opt_len < 8) {
296                 err_offset = 1;
297                 goto out;
298         }
299
300         if (get_unaligned_be32(&opt[2]) == 0) {
301                 err_offset = 2;
302                 goto out;
303         }
304
305         for (opt_iter = 6; opt_iter < opt_len;) {
306                 if (opt_iter + 1 == opt_len) {
307                         err_offset = opt_iter;
308                         goto out;
309                 }
310                 tag_len = opt[opt_iter + 1];
311                 if ((tag_len == 0) || (opt[opt_iter + 1] > (opt_len - opt_iter))) {
312                         err_offset = opt_iter + 1;
313                         goto out;
314                 }
315                 opt_iter += tag_len;
316         }
317
318 out:
319         *option = opt + err_offset;
320         return err_offset;
321
322 }
323 #endif /* CONFIG_NETLABEL */
324
325 #endif /* _CIPSO_IPV4_H */