src/secure_save.c

   1 /*
   2  * Geeqie
   3  *
   4  * Author: Vladimir Nadvornik
   5  * based on the code developped for ELinks by Laurent Monin
   6  *
   7  * This software is released under the GNU General Public License (GNU GPL).
   8  * Please read the included file COPYING for more information.
   9  * This software comes with no warranty of any kind, use at your own risk!
  10  */
  11
  12 #include <glib/gstdio.h>
  13 #include <errno.h>
  14
  15 #include "main.h"
  16 #include "secure_save.h"
  17
  18 #include "ui_fileops.h"
  19
  20 /* ABOUT SECURE SAVE */
  21 /* This code was borrowed from the ELinks project (http://elinks.cz)
  22  * It was originally written by me (Laurent Monin aka Zas) and heavily
  23  * modified and improved by all ELinks contributors.
  24  * This code was released under the GPLv2 licence.
  25  * It was modified to be included in geeqie on 2008/04/05 */
  26
  27 /* If ssi->secure_save is TRUE:
  28  * ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  29  *
  30  * A call to secure_open("/home/me/.confdir/filename", mask) will open a file
  31  * named "filename.tmp_XXXXXX" in /home/me/.confdir/ and return a pointer to a
  32  * structure SecureSaveInfo on success or NULL on error.
  33  *
  34  * filename.tmp_XXXXXX can't conflict with any file since it's created using
  35  * mkstemp(). XXXXXX is a random string.
  36  *
  37  * Subsequent write operations are done using returned SecureSaveInfo FILE *
  38  * field named fp.
  39  *
  40  * If an error is encountered, SecureSaveInfo int field named err is set
  41  * (automatically if using secure_fp*() functions or by programmer)
  42  *
  43  * When secure_close() is called, "filename.tmp_XXXXXX" is flushed and closed,
  44  * and if SecureSaveInfo err field has a value of zero, "filename.tmp_XXXXXX"
  45  * is renamed to "filename". If this succeeded, then secure_close() returns 0.
  46  *
  47  * WARNING: since rename() is used, any symlink called "filename" may be
  48  * replaced by a regular file. If destination file isn't a regular file,
  49  * then secsave is disabled for that file.
  50  *
  51  * If ssi->secure_save is FALSE:
  52  * ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  53  *
  54  * No temporary file is created, "filename" is truncated, all operations are
  55  * done on it, no rename nor flush occur, symlinks are preserved.
  56  *
  57  * In both cases:
  58  * ~~~~~~~~~~~~~
  59  *
  60  * Access rights are affected by secure_open() mask parameter.
  61  */
  62
  63 /* FIXME: locking system on files about to be rewritten ? */
  64 /* FIXME: Low risk race conditions about ssi->file_name. */
  65
  66 SecureSaveErrno secsave_errno = SS_ERR_NONE;
  67
  68
  69 /** Open a file for writing in a secure way. @returns a pointer to a
  70  * structure secure_save_info on success, or NULL on failure. */
  71 static SecureSaveInfo *
  72 secure_open_umask(const gchar *file_name)
  73 {
  74         struct stat st;
  75         SecureSaveInfo *ssi;
  76
  77         secsave_errno = SS_ERR_NONE;
  78
  79         ssi = g_new0(SecureSaveInfo, 1);
  80         if (!ssi) {
  81                 secsave_errno = SS_ERR_OUT_OF_MEM;
  82                 goto end;
  83         }
  84
  85         ssi->secure_save = TRUE;
  86
  87         ssi->file_name = path_from_utf8(file_name);
  88         if (!ssi->file_name) {
  89                 secsave_errno = SS_ERR_OUT_OF_MEM;
  90                 goto free_f;
  91         }
  92
  93         /* Check properties of final file. */
  94 #ifndef NO_UNIX_SOFTLINKS
  95         if (g_lstat(ssi->file_name, &st)) {
  96 #else
  97         if (g_stat(ssi->file_name, &st)) {
  98 #endif
  99                 /* We ignore error caused by file inexistence. */
 100                 if (errno != ENOENT) {
 101                         /* lstat() error. */
 102                         ssi->err = errno;
 103                         secsave_errno = SS_ERR_STAT;
 104                         goto free_file_name;
 105                 }
 106         } else {
 107                 if (!S_ISREG(st.st_mode)) {
 108                         /* Not a regular file, secure_save is disabled. */
 109                         ssi->secure_save = 0;
 110                 } else {
 111 #ifdef HAVE_ACCESS
 112                         /* XXX: access() do not work with setuid programs. */
 113                         if (g_access(ssi->file_name, R_OK | W_OK) < 0) {
 114                                 ssi->err = errno;
 115                                 secsave_errno = SS_ERR_ACCESS;
 116                                 goto free_file_name;
 117                         }
 118 #else
 119                         FILE *f1;
 120
 121                         /* We still have a race condition here between
 122                          * [l]stat() and fopen() */
 123
 124                         f1 = g_fopen(ssi->file_name, "rb+");
 125                         if (f1) {
 126                                 fclose(f1);
 127                         } else {
 128                                 ssi->err = errno;
 129                                 secsave_errno = SS_ERR_OPEN_READ;
 130                                 goto free_file_name;
 131                         }
 132 #endif
 133                 }
 134         }
 135
 136         if (ssi->secure_save) {
 137                 /* We use a random name for temporary file, mkstemp() opens
 138                  * the file and return a file descriptor named fd, which is
 139                  * then converted to FILE * using fdopen().
 140                  */
 141                 gint fd;
 142                 gchar *randname = g_strconcat(ssi->file_name, ".tmp_XXXXXX", NULL);
 143
 144                 if (!randname) {
 145                         secsave_errno = SS_ERR_OUT_OF_MEM;
 146                         goto free_file_name;
 147                 }
 148
 149                 /* No need to use safe_mkstemp() here. --Zas */
 150                 fd = g_mkstemp(randname);
 151                 if (fd == -1) {
 152                         secsave_errno = SS_ERR_MKSTEMP;
 153                         g_free(randname);
 154                         goto free_file_name;
 155                 }
 156
 157                 ssi->fp = fdopen(fd, "wb");
 158                 if (!ssi->fp) {
 159                         secsave_errno = SS_ERR_OPEN_WRITE;
 160                         ssi->err = errno;
 161                         g_free(randname);
 162                         goto free_file_name;
 163                 }
 164
 165                 ssi->tmp_file_name = randname;
 166         } else {
 167                 /* No need to create a temporary file here. */
 168                 ssi->fp = g_fopen(ssi->file_name, "wb");
 169                 if (!ssi->fp) {
 170                         secsave_errno = SS_ERR_OPEN_WRITE;
 171                         ssi->err = errno;
 172                         goto free_file_name;
 173                 }
 174         }
 175
 176         return ssi;
 177
 178 free_file_name:
 179         g_free(ssi->file_name);
 180         ssi->file_name = NULL;
 181
 182 free_f:
 183         g_free(ssi);
 184         ssi = NULL;
 185
 186 end:
 187         return NULL;
 188 }
 189
 190 SecureSaveInfo *
 191 secure_open(const gchar *file_name)
 192 {
 193         SecureSaveInfo *ssi;
 194         mode_t saved_mask;
 195 #ifdef CONFIG_OS_WIN32
 196         /* There is neither S_IRWXG nor S_IRWXO under crossmingw32-gcc */
 197         const mode_t mask = 0177;
 198 #else
 199         const mode_t mask = S_IXUSR | S_IRWXG | S_IRWXO;
 200 #endif
 201
 202         saved_mask = umask(mask);
 203         ssi = secure_open_umask(file_name);
 204         umask(saved_mask);
 205
 206         return ssi;
 207 }
 208
 209 /** Close a file opened with secure_open(). Rreturns 0 on success,
 210  * errno or -1 on failure.
 211  */
 212 gint
 213 secure_close(SecureSaveInfo *ssi)
 214 {
 215         gint ret = -1;
 216
 217         if (!ssi) return ret;
 218         if (!ssi->fp) goto free;
 219
 220         if (ssi->err) { /* Keep previous errno. */
 221                 ret = ssi->err;
 222                 fclose(ssi->fp); /* Close file */
 223                 goto free;
 224         }
 225
 226         /* Ensure data is effectively written to disk, we first flush libc buffers
 227          * using fflush(), then fsync() to flush kernel buffers, and finally call
 228          * fclose() (which call fflush() again, but the first one is needed since
 229          * it doesn't make much sense to flush kernel buffers and then libc buffers,
 230          * while closing file releases file descriptor we need to call fsync(). */
 231 #if defined(HAVE_FFLUSH) || defined(HAVE_FSYNC)
 232         if (ssi->secure_save) {
 233                 int fail = 0;
 234
 235 #ifdef HAVE_FFLUSH
 236                 fail = (fflush(ssi->fp) == EOF);
 237 #endif
 238
 239 #ifdef HAVE_FSYNC
 240                 if (!fail) fail = fsync(fileno(ssi->fp));
 241 #endif
 242
 243                 if (fail) {
 244                         ret = errno;
 245                         secsave_errno = SS_ERR_OTHER;
 246
 247                         fclose(ssi->fp); /* Close file, ignore errors. */
 248                         goto free;
 249                 }
 250         }
 251 #endif
 252
 253         /* Close file. */
 254         if (fclose(ssi->fp) == EOF) {
 255                 ret = errno;
 256                 secsave_errno = SS_ERR_OTHER;
 257                 goto free;
 258         }
 259
 260         if (ssi->secure_save && ssi->file_name && ssi->tmp_file_name) {
 261                 /* FIXME: Race condition on ssi->file_name. The file
 262                  * named ssi->file_name may have changed since
 263                  * secure_open() call (where we stat() file and
 264                  * more..).  */
 265                 if (debug > 2) g_printf("rename %s -> %s", ssi->tmp_file_name, ssi->file_name);
 266                 if (g_rename(ssi->tmp_file_name, ssi->file_name) == -1) {
 267                         ret = errno;
 268                         secsave_errno = SS_ERR_RENAME;
 269                         goto free;
 270                 }
 271         }
 272
 273         ret = 0;        /* Success. */
 274
 275 free:
 276         if (ssi->tmp_file_name) g_free(ssi->tmp_file_name);
 277         if (ssi->file_name) g_free(ssi->file_name);
 278         if (ssi) g_free(ssi);
 279
 280         return ret;
 281 }
 282
 283
 284 /** fputs() wrapper, set ssi->err to errno on error. If ssi->err is set when
 285  * called, it immediatly returns EOF.
 286  */
 287 gint
 288 secure_fputs(SecureSaveInfo *ssi, const gchar *s)
 289 {
 290         gint ret;
 291
 292         if (!ssi || !ssi->fp || ssi->err) return EOF;
 293
 294         ret = fputs(s, ssi->fp);
 295         if (ret == EOF) {
 296                 secsave_errno = SS_ERR_OTHER;
 297                 ssi->err = errno;
 298         }
 299
 300         return ret;
 301 }
 302
 303
 304 /** fputc() wrapper, set ssi->err to errno on error. If ssi->err is set when
 305  * called, it immediatly returns EOF.
 306  */
 307 gint
 308 secure_fputc(SecureSaveInfo *ssi, gint c)
 309 {
 310         gint ret;
 311
 312         if (!ssi || !ssi->fp || ssi->err) return EOF;
 313
 314         ret = fputc(c, ssi->fp);
 315         if (ret == EOF) {
 316                 ssi->err = errno;
 317                 secsave_errno = SS_ERR_OTHER;
 318         }
 319
 320         return ret;
 321 }
 322
 323 /** fprintf() wrapper, set ssi->err to errno on error and return a negative
 324  * value. If ssi->err is set when called, it immediatly returns -1.
 325  */
 326 gint
 327 secure_fprintf(SecureSaveInfo *ssi, const gchar *format, ...)
 328 {
 329         va_list ap;
 330         gint ret;
 331
 332         if (!ssi || !ssi->fp || ssi->err) return -1;
 333
 334         va_start(ap, format);
 335         ret = vfprintf(ssi->fp, format, ap);
 336         if (ret < 0) ssi->err = errno;
 337         va_end(ap);
 338
 339         return ret;
 340 }
 341
 342 gchar *
 343 secsave_strerror(SecureSaveErrno secsave_error)
 344 {
 345         switch (secsave_error) {
 346         case SS_ERR_OPEN_READ:
 347                 return _("Cannot read the file");
 348         case SS_ERR_STAT:
 349                 return _("Cannot get file status");
 350         case SS_ERR_ACCESS:
 351                 return _("Cannot access the file");
 352         case SS_ERR_MKSTEMP:
 353                 return _("Cannot create temp file");
 354         case SS_ERR_RENAME:
 355                 return _("Cannot rename the file");
 356         case SS_ERR_DISABLED:
 357                 return _("File saving disabled by option");
 358         case SS_ERR_OUT_OF_MEM:
 359                 return _("Out of memory");
 360         case SS_ERR_OPEN_WRITE:
 361                 return _("Cannot write the file");
 362         case SS_ERR_NONE: /* Impossible. */
 363         case SS_ERR_OTHER:
 364         default:
 365                 return _("Secure file saving error");
 366         }
 367 }
 368