src/secure_save.c

   1 /*
   2  * Copyright (C) 2008 - 2016 The Geeqie Team
   3  *
   4  * Author: Laurent Monin
   5  *
   6  * This program is free software; you can redistribute it and/or modify
   7  * it under the terms of the GNU General Public License as published by
   8  * the Free Software Foundation; either version 2 of the License, or
   9  * (at your option) any later version.
  10  *
  11  * This program is distributed in the hope that it will be useful,
  12  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  13  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  14  * GNU General Public License for more details.
  15  *
  16  * You should have received a copy of the GNU General Public License along
  17  * with this program; if not, write to the Free Software Foundation, Inc.,
  18  * 51 Franklin Street, Fifth Floor, Boston, MA 02110-1301 USA.
  19  */
  20
  21 #include "main.h"
  22 #include <glib/gprintf.h>
  23 #include <glib/gstdio.h>
  24 #include <errno.h>
  25 #include <utime.h>
  26
  27 #include "secure_save.h"
  28
  29 /**
  30  * @file secure_save.c
  31  *
  32  * ABOUT SECURE SAVE \n
  33  * This code was borrowed from the ELinks project (http://elinks.cz)
  34  * It was originally written by me (Laurent Monin aka Zas) and heavily
  35  * modified and improved by all ELinks contributors.
  36  * This code was released under the GPLv2 licence.
  37  * It was modified to be included in geeqie on 2008/04/05
  38  * If ssi->secure_save is TRUE:
  39  *
  40  * A call to secure_open("/home/me/.confdir/filename", mask) will open a file
  41  * named "filename.tmp_XXXXXX" in /home/me/.confdir/ and return a pointer to a
  42  * structure SecureSaveInfo on success or NULL on error.
  43  *
  44  * filename.tmp_XXXXXX can't conflict with any file since it's created using
  45  * mkstemp(). XXXXXX is a random string.
  46  *
  47  * Subsequent write operations are done using returned SecureSaveInfo FILE *
  48  * field named fp.
  49  *
  50  * If an error is encountered, SecureSaveInfo int field named err is set
  51  * (automatically if using secure_fp*() functions or by programmer)
  52  *
  53  * When secure_close() is called, "filename.tmp_XXXXXX" is flushed and closed,
  54  * and if SecureSaveInfo err field has a value of zero, "filename.tmp_XXXXXX"
  55  * is renamed to "filename". If this succeeded, then secure_close() returns 0.
  56  *
  57  * WARNING: since rename() is used, any symlink called "filename" may be
  58  * replaced by a regular file. If destination file isn't a regular file,
  59  * then secsave is disabled for that file.
  60  *
  61  * If ssi->secure_save is FALSE:
  62  *
  63  * No temporary file is created, "filename" is truncated, all operations are
  64  * done on it, no rename nor flush occur, symlinks are preserved.
  65  *
  66  * In both cases:
  67  *
  68  * Access rights are affected by secure_open() mask parameter.
  69  */
  70
  71 /**
  72  * @file
  73  * @FIXME locking system on files about to be rewritten ?
  74  * @FIXME Low risk race conditions about ssi->file_name.
  75  */
  76
  77 SecureSaveErrno secsave_errno = SS_ERR_NONE;
  78
  79
  80 /** Open a file for writing in a secure way. @returns a pointer to a
  81  * structure secure_save_info on success, or NULL on failure. */
  82 static SecureSaveInfo *
  83 secure_open_umask(const gchar *file_name)
  84 {
  85         struct stat st;
  86         SecureSaveInfo *ssi;
  87
  88         secsave_errno = SS_ERR_NONE;
  89
  90         ssi = g_new0(SecureSaveInfo, 1);
  91         if (!ssi) {
  92                 secsave_errno = SS_ERR_OUT_OF_MEM;
  93                 goto end;
  94         }
  95
  96         ssi->secure_save = TRUE;
  97         ssi->preserve_perms = TRUE;
  98         ssi->unlink_on_error = TRUE;
  99
 100         ssi->file_name = g_strdup(file_name);
 101         if (!ssi->file_name) {
 102                 secsave_errno = SS_ERR_OUT_OF_MEM;
 103                 goto free_f;
 104         }
 105
 106         /* Check properties of final file. */
 107 #ifndef NO_UNIX_SOFTLINKS
 108         if (lstat(ssi->file_name, &st)) {
 109 #else
 110         if (stat(ssi->file_name, &st)) {
 111 #endif
 112                 /* We ignore error caused by file inexistence. */
 113                 if (errno != ENOENT) {
 114                         /* lstat() error. */
 115                         ssi->err = errno;
 116                         secsave_errno = SS_ERR_STAT;
 117                         goto free_file_name;
 118                 }
 119         } else {
 120                 if (!S_ISREG(st.st_mode)) {
 121                         /* Not a regular file, secure_save is disabled. */
 122                         ssi->secure_save = FALSE;
 123                 } else {
 124 #ifdef HAVE_ACCESS
 125                         /* XXX: access() do not work with setuid programs. */
 126                         if (access(ssi->file_name, R_OK | W_OK) < 0) {
 127                                 ssi->err = errno;
 128                                 secsave_errno = SS_ERR_ACCESS;
 129                                 goto free_file_name;
 130                         }
 131 #else
 132                         FILE *f1;
 133
 134                         /* We still have a race condition here between
 135                          * [l]stat() and fopen() */
 136
 137                         f1 = fopen(ssi->file_name, "rb+");
 138                         if (f1) {
 139                                 fclose(f1);
 140                         } else {
 141                                 ssi->err = errno;
 142                                 secsave_errno = SS_ERR_OPEN_READ;
 143                                 goto free_file_name;
 144                         }
 145 #endif
 146                 }
 147         }
 148
 149         if (ssi->secure_save) {
 150                 /* We use a random name for temporary file, mkstemp() opens
 151                  * the file and return a file descriptor named fd, which is
 152                  * then converted to FILE * using fdopen().
 153                  */
 154                 gint fd;
 155                 gchar *randname = g_strconcat(ssi->file_name, ".tmp_XXXXXX", NULL);
 156
 157                 if (!randname) {
 158                         secsave_errno = SS_ERR_OUT_OF_MEM;
 159                         goto free_file_name;
 160                 }
 161
 162                 /* No need to use safe_mkstemp() here. --Zas */
 163                 fd = g_mkstemp(randname);
 164                 if (fd == -1) {
 165                         secsave_errno = SS_ERR_MKSTEMP;
 166                         g_free(randname);
 167                         goto free_file_name;
 168                 }
 169
 170                 ssi->fp = fdopen(fd, "wb");
 171                 if (!ssi->fp) {
 172                         secsave_errno = SS_ERR_OPEN_WRITE;
 173                         ssi->err = errno;
 174                         g_free(randname);
 175                         goto free_file_name;
 176                 }
 177
 178                 ssi->tmp_file_name = randname;
 179         } else {
 180                 /* No need to create a temporary file here. */
 181                 ssi->fp = fopen(ssi->file_name, "wb");
 182                 if (!ssi->fp) {
 183                         secsave_errno = SS_ERR_OPEN_WRITE;
 184                         ssi->err = errno;
 185                         goto free_file_name;
 186                 }
 187         }
 188
 189         return ssi;
 190
 191 free_file_name:
 192         g_free(ssi->file_name);
 193         ssi->file_name = NULL;
 194
 195 free_f:
 196         g_free(ssi);
 197         ssi = NULL;
 198
 199 end:
 200         return NULL;
 201 }
 202
 203 SecureSaveInfo *
 204 secure_open(const gchar *file_name)
 205 {
 206         SecureSaveInfo *ssi;
 207         mode_t saved_mask;
 208 #ifdef CONFIG_OS_WIN32
 209         /* There is neither S_IRWXG nor S_IRWXO under crossmingw32-gcc */
 210         const mode_t mask = 0177;
 211 #else
 212         const mode_t mask = S_IXUSR | S_IRWXG | S_IRWXO;
 213 #endif
 214
 215         saved_mask = umask(mask);
 216         ssi = secure_open_umask(file_name);
 217         umask(saved_mask);
 218
 219         return ssi;
 220 }
 221
 222 /** Close a file opened with secure_open(). Rreturns 0 on success,
 223  * errno or -1 on failure.
 224  */
 225 gint
 226 secure_close(SecureSaveInfo *ssi)
 227 {
 228         gint ret = -1;
 229
 230         if (!ssi) return ret;
 231         if (!ssi->fp) goto free;
 232
 233         if (ssi->err) { /* Keep previous errno. */
 234                 ret = ssi->err;
 235                 fclose(ssi->fp); /* Close file */
 236                 goto free;
 237         }
 238
 239         /* Ensure data is effectively written to disk, we first flush libc buffers
 240          * using fflush(), then fsync() to flush kernel buffers, and finally call
 241          * fclose() (which call fflush() again, but the first one is needed since
 242          * it doesn't make much sense to flush kernel buffers and then libc buffers,
 243          * while closing file releases file descriptor we need to call fsync(). */
 244 #if defined(HAVE_FFLUSH) || defined(HAVE_FSYNC)
 245         if (ssi->secure_save) {
 246                 gboolean fail = FALSE;
 247
 248 #ifdef HAVE_FFLUSH
 249                 fail = (fflush(ssi->fp) == EOF);
 250 #endif
 251
 252 #ifdef HAVE_FSYNC
 253                 if (!fail) fail = fsync(fileno(ssi->fp));
 254 #endif
 255
 256                 if (fail) {
 257                         ret = errno;
 258                         secsave_errno = SS_ERR_OTHER;
 259
 260                         fclose(ssi->fp); /* Close file, ignore errors. */
 261                         goto free;
 262                 }
 263         }
 264 #endif
 265
 266         /* Close file. */
 267         if (fclose(ssi->fp) == EOF) {
 268                 ret = errno;
 269                 secsave_errno = SS_ERR_OTHER;
 270                 goto free;
 271         }
 272
 273         if (ssi->secure_save && ssi->file_name && ssi->tmp_file_name) {
 274                 struct stat st;
 275
 276                 /**
 277                  * @FIXME Race condition on ssi->file_name. The file
 278                  * named ssi->file_name may have changed since
 279                  * secure_open() call (where we stat() file and
 280                  * more..).  */
 281 #ifndef NO_UNIX_SOFTLINKS
 282                 if (lstat(ssi->file_name, &st) == 0)
 283 #else
 284                 if (stat(ssi->file_name, &st) == 0)
 285 #endif
 286                         {
 287                         /* set the dest file attributes to that of source (ignoring errors) */
 288                         if (ssi->preserve_perms)
 289                                 {
 290                                 if (chown(ssi->tmp_file_name, st.st_uid, st.st_gid) != 0) log_printf("chown('%s', %d, %d) failed", ssi->tmp_file_name, st.st_uid, st.st_gid);
 291                                 if (chmod(ssi->tmp_file_name, st.st_mode) != 0) log_printf("chmod('%s', %o) failed", ssi->tmp_file_name, st.st_mode);
 292                                 }
 293
 294                         if (ssi->preserve_mtime)
 295                                 {
 296                                 struct utimbuf tb;
 297
 298                                 tb.actime = st.st_atime;
 299                                 tb.modtime = st.st_mtime;
 300                                 utime(ssi->tmp_file_name, &tb);
 301                                 }
 302                         }
 303                 if (rename(ssi->tmp_file_name, ssi->file_name) == -1) {
 304                         ret = errno;
 305                         secsave_errno = SS_ERR_RENAME;
 306                         goto free;
 307                 }
 308         }
 309
 310         ret = 0;        /* Success. */
 311
 312 free:
 313         if (ssi->tmp_file_name)
 314                 {
 315                 if (ret && ssi->unlink_on_error) unlink(ssi->tmp_file_name);
 316                 g_free(ssi->tmp_file_name);
 317                 }
 318         if (ssi->file_name) g_free(ssi->file_name);
 319         if (ssi) g_free(ssi);
 320
 321         return ret;
 322 }
 323
 324
 325 /** fputs() wrapper, set ssi->err to errno on error. If ssi->err is set when
 326  * called, it immediately returns EOF.
 327  */
 328 gint
 329 secure_fputs(SecureSaveInfo *ssi, const gchar *s)
 330 {
 331         gint ret;
 332
 333         if (!ssi || !ssi->fp || ssi->err) return EOF;
 334
 335         ret = fputs(s, ssi->fp);
 336         if (ret == EOF) {
 337                 secsave_errno = SS_ERR_OTHER;
 338                 ssi->err = errno;
 339         }
 340
 341         return ret;
 342 }
 343
 344
 345 /** fputc() wrapper, set ssi->err to errno on error. If ssi->err is set when
 346  * called, it immediately returns EOF.
 347  */
 348 gint
 349 secure_fputc(SecureSaveInfo *ssi, gint c)
 350 {
 351         gint ret;
 352
 353         if (!ssi || !ssi->fp || ssi->err) return EOF;
 354
 355         ret = fputc(c, ssi->fp);
 356         if (ret == EOF) {
 357                 ssi->err = errno;
 358                 secsave_errno = SS_ERR_OTHER;
 359         }
 360
 361         return ret;
 362 }
 363
 364 /** fprintf() wrapper, set ssi->err to errno on error and return a negative
 365  * value. If ssi->err is set when called, it immediately returns -1.
 366  */
 367 gint
 368 secure_fprintf(SecureSaveInfo *ssi, const gchar *format, ...)
 369 {
 370         va_list ap;
 371         gint ret;
 372
 373         if (!ssi || !ssi->fp || ssi->err) return -1;
 374
 375         va_start(ap, format);
 376         ret = g_vfprintf(ssi->fp, format, ap);
 377         va_end(ap);
 378
 379         return ret;
 380 }
 381
 382 /** fwrite() wrapper, set ssi->err to errno on error and return a value less than
 383  * the number of elements to write. If ssi->err is set when called, it immediately returns 0.
 384  */
 385 size_t
 386 secure_fwrite(gconstpointer ptr, size_t size, size_t nmemb, SecureSaveInfo *ssi)
 387 {
 388         size_t ret;
 389
 390         if (!ssi || !ssi->fp || ssi->err) return 0;
 391
 392         ret = fwrite(ptr, size, nmemb, ssi->fp);
 393         if (ret < nmemb)
 394                 {
 395                 ssi->err = errno;
 396                 secsave_errno = SS_ERR_OTHER;
 397                 }
 398
 399         return ret;
 400 }
 401
 402 gchar *
 403 secsave_strerror(SecureSaveErrno secsave_error)
 404 {
 405         switch (secsave_error) {
 406         case SS_ERR_OPEN_READ:
 407                 return _("Cannot read the file");
 408         case SS_ERR_STAT:
 409                 return _("Cannot get file status");
 410         case SS_ERR_ACCESS:
 411                 return _("Cannot access the file");
 412         case SS_ERR_MKSTEMP:
 413                 return _("Cannot create temp file");
 414         case SS_ERR_RENAME:
 415                 return _("Cannot rename the file");
 416         case SS_ERR_DISABLED:
 417                 return _("File saving disabled by option");
 418         case SS_ERR_OUT_OF_MEM:
 419                 return _("Out of memory");
 420         case SS_ERR_OPEN_WRITE:
 421                 return _("Cannot write the file");
 422         case SS_ERR_NONE: /* Impossible. */
 423         case SS_ERR_OTHER:
 424         default:
 425                 return _("Secure file saving error");
 426         }
 427 }
 428 /* vim: set shiftwidth=8 softtabstop=0 cindent cinoptions={1s: */