Add support for using 3-arg pkcheck syntax for process (CVE-2013-4311)
authorDaniel P. Berrange <berrange@redhat.com>
Wed, 28 Aug 2013 14:25:40 +0000 (15:25 +0100)
committerEric Blake <eblake@redhat.com>
Wed, 18 Sep 2013 14:36:01 +0000 (08:36 -0600)
commit77d448e15d73773d5ffe00b62dbdbc0380c4faae
treebb594e729266d4e3734b39743635781467f72d1c
parentcd03624eecc7fd4c6552e74ee1305c53a43cac58
Add support for using 3-arg pkcheck syntax for process (CVE-2013-4311)

With the existing pkcheck (pid, start time) tuple for identifying
the process, there is a race condition, where a process can make
a libvirt RPC call and in another thread exec a setuid application,
causing it to change to effective UID 0. This in turn causes polkit
to do its permission check based on the wrong UID.

To address this, libvirt must get the UID the caller had at time
of connect() (from SO_PEERCRED) and pass a (pid, start time, uid)
triple to the pkcheck program.

This fix requires that libvirt is re-built against a version of
polkit that has the fix for its CVE-2013-4288, so that libvirt
can see 'pkg-config --variable pkcheck_supports_uid polkit-gobject-1'

Signed-off-by: Colin Walters <walters@redhat.com>
Signed-off-by: Daniel P. Berrange <berrange@redhat.com>
(cherry picked from commit 922b7fda77b094dbf022d625238262ea05335666)
Signed-off-by: Eric Blake <eblake@redhat.com>

Conflicts:
configure.ac - context
libvirt.spec.in - context of indentation
src/access/viraccessdriverpolkit.c - not present on this branch
configure.ac
daemon/remote.c
libvirt.spec.in