src/secure_save.c

   1 /*
   2  * Geeqie
   3  *
   4  * Author: Vladimir Nadvornik
   5  * based on the code developped for ELinks by Laurent Monin
   6  *
   7  * This software is released under the GNU General Public License (GNU GPL).
   8  * Please read the included file COPYING for more information.
   9  * This software comes with no warranty of any kind, use at your own risk!
  10  */
  11
  12 #include <glib/gstdio.h>
  13 #include <errno.h>
  14 #include <utime.h>
  15
  16 #include "main.h"
  17 #include "secure_save.h"
  18
  19 /* ABOUT SECURE SAVE */
  20 /* This code was borrowed from the ELinks project (http://elinks.cz)
  21  * It was originally written by me (Laurent Monin aka Zas) and heavily
  22  * modified and improved by all ELinks contributors.
  23  * This code was released under the GPLv2 licence.
  24  * It was modified to be included in geeqie on 2008/04/05 */
  25
  26 /* If ssi->secure_save is TRUE:
  27  * ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  28  *
  29  * A call to secure_open("/home/me/.confdir/filename", mask) will open a file
  30  * named "filename.tmp_XXXXXX" in /home/me/.confdir/ and return a pointer to a
  31  * structure SecureSaveInfo on success or NULL on error.
  32  *
  33  * filename.tmp_XXXXXX can't conflict with any file since it's created using
  34  * mkstemp(). XXXXXX is a random string.
  35  *
  36  * Subsequent write operations are done using returned SecureSaveInfo FILE *
  37  * field named fp.
  38  *
  39  * If an error is encountered, SecureSaveInfo int field named err is set
  40  * (automatically if using secure_fp*() functions or by programmer)
  41  *
  42  * When secure_close() is called, "filename.tmp_XXXXXX" is flushed and closed,
  43  * and if SecureSaveInfo err field has a value of zero, "filename.tmp_XXXXXX"
  44  * is renamed to "filename". If this succeeded, then secure_close() returns 0.
  45  *
  46  * WARNING: since rename() is used, any symlink called "filename" may be
  47  * replaced by a regular file. If destination file isn't a regular file,
  48  * then secsave is disabled for that file.
  49  *
  50  * If ssi->secure_save is FALSE:
  51  * ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  52  *
  53  * No temporary file is created, "filename" is truncated, all operations are
  54  * done on it, no rename nor flush occur, symlinks are preserved.
  55  *
  56  * In both cases:
  57  * ~~~~~~~~~~~~~
  58  *
  59  * Access rights are affected by secure_open() mask parameter.
  60  */
  61
  62 /* FIXME: locking system on files about to be rewritten ? */
  63 /* FIXME: Low risk race conditions about ssi->file_name. */
  64
  65 SecureSaveErrno secsave_errno = SS_ERR_NONE;
  66
  67
  68 /** Open a file for writing in a secure way. @returns a pointer to a
  69  * structure secure_save_info on success, or NULL on failure. */
  70 static SecureSaveInfo *
  71 secure_open_umask(const gchar *file_name)
  72 {
  73         struct stat st;
  74         SecureSaveInfo *ssi;
  75
  76         secsave_errno = SS_ERR_NONE;
  77
  78         ssi = g_new0(SecureSaveInfo, 1);
  79         if (!ssi) {
  80                 secsave_errno = SS_ERR_OUT_OF_MEM;
  81                 goto end;
  82         }
  83
  84         ssi->secure_save = TRUE;
  85         ssi->preserve_perms = TRUE;
  86         ssi->unlink_on_error = TRUE;
  87
  88         ssi->file_name = g_strdup(file_name);
  89         if (!ssi->file_name) {
  90                 secsave_errno = SS_ERR_OUT_OF_MEM;
  91                 goto free_f;
  92         }
  93
  94         /* Check properties of final file. */
  95 #ifndef NO_UNIX_SOFTLINKS
  96         if (g_lstat(ssi->file_name, &st)) {
  97 #else
  98         if (g_stat(ssi->file_name, &st)) {
  99 #endif
 100                 /* We ignore error caused by file inexistence. */
 101                 if (errno != ENOENT) {
 102                         /* lstat() error. */
 103                         ssi->err = errno;
 104                         secsave_errno = SS_ERR_STAT;
 105                         goto free_file_name;
 106                 }
 107         } else {
 108                 if (!S_ISREG(st.st_mode)) {
 109                         /* Not a regular file, secure_save is disabled. */
 110                         ssi->secure_save = FALSE;
 111                 } else {
 112 #ifdef HAVE_ACCESS
 113                         /* XXX: access() do not work with setuid programs. */
 114                         if (g_access(ssi->file_name, R_OK | W_OK) < 0) {
 115                                 ssi->err = errno;
 116                                 secsave_errno = SS_ERR_ACCESS;
 117                                 goto free_file_name;
 118                         }
 119 #else
 120                         FILE *f1;
 121
 122                         /* We still have a race condition here between
 123                          * [l]stat() and fopen() */
 124
 125                         f1 = g_fopen(ssi->file_name, "rb+");
 126                         if (f1) {
 127                                 fclose(f1);
 128                         } else {
 129                                 ssi->err = errno;
 130                                 secsave_errno = SS_ERR_OPEN_READ;
 131                                 goto free_file_name;
 132                         }
 133 #endif
 134                 }
 135         }
 136
 137         if (ssi->secure_save) {
 138                 /* We use a random name for temporary file, mkstemp() opens
 139                  * the file and return a file descriptor named fd, which is
 140                  * then converted to FILE * using fdopen().
 141                  */
 142                 gint fd;
 143                 gchar *randname = g_strconcat(ssi->file_name, ".tmp_XXXXXX", NULL);
 144
 145                 if (!randname) {
 146                         secsave_errno = SS_ERR_OUT_OF_MEM;
 147                         goto free_file_name;
 148                 }
 149
 150                 /* No need to use safe_mkstemp() here. --Zas */
 151                 fd = g_mkstemp(randname);
 152                 if (fd == -1) {
 153                         secsave_errno = SS_ERR_MKSTEMP;
 154                         g_free(randname);
 155                         goto free_file_name;
 156                 }
 157
 158                 ssi->fp = fdopen(fd, "wb");
 159                 if (!ssi->fp) {
 160                         secsave_errno = SS_ERR_OPEN_WRITE;
 161                         ssi->err = errno;
 162                         g_free(randname);
 163                         goto free_file_name;
 164                 }
 165
 166                 ssi->tmp_file_name = randname;
 167         } else {
 168                 /* No need to create a temporary file here. */
 169                 ssi->fp = g_fopen(ssi->file_name, "wb");
 170                 if (!ssi->fp) {
 171                         secsave_errno = SS_ERR_OPEN_WRITE;
 172                         ssi->err = errno;
 173                         goto free_file_name;
 174                 }
 175         }
 176
 177         return ssi;
 178
 179 free_file_name:
 180         g_free(ssi->file_name);
 181         ssi->file_name = NULL;
 182
 183 free_f:
 184         g_free(ssi);
 185         ssi = NULL;
 186
 187 end:
 188         return NULL;
 189 }
 190
 191 SecureSaveInfo *
 192 secure_open(const gchar *file_name)
 193 {
 194         SecureSaveInfo *ssi;
 195         mode_t saved_mask;
 196 #ifdef CONFIG_OS_WIN32
 197         /* There is neither S_IRWXG nor S_IRWXO under crossmingw32-gcc */
 198         const mode_t mask = 0177;
 199 #else
 200         const mode_t mask = S_IXUSR | S_IRWXG | S_IRWXO;
 201 #endif
 202
 203         saved_mask = umask(mask);
 204         ssi = secure_open_umask(file_name);
 205         umask(saved_mask);
 206
 207         return ssi;
 208 }
 209
 210 /** Close a file opened with secure_open(). Rreturns 0 on success,
 211  * errno or -1 on failure.
 212  */
 213 gint
 214 secure_close(SecureSaveInfo *ssi)
 215 {
 216         gint ret = -1;
 217
 218         if (!ssi) return ret;
 219         if (!ssi->fp) goto free;
 220
 221         if (ssi->err) { /* Keep previous errno. */
 222                 ret = ssi->err;
 223                 fclose(ssi->fp); /* Close file */
 224                 goto free;
 225         }
 226
 227         /* Ensure data is effectively written to disk, we first flush libc buffers
 228          * using fflush(), then fsync() to flush kernel buffers, and finally call
 229          * fclose() (which call fflush() again, but the first one is needed since
 230          * it doesn't make much sense to flush kernel buffers and then libc buffers,
 231          * while closing file releases file descriptor we need to call fsync(). */
 232 #if defined(HAVE_FFLUSH) || defined(HAVE_FSYNC)
 233         if (ssi->secure_save) {
 234                 int fail = 0;
 235
 236 #ifdef HAVE_FFLUSH
 237                 fail = (fflush(ssi->fp) == EOF);
 238 #endif
 239
 240 #ifdef HAVE_FSYNC
 241                 if (!fail) fail = fsync(fileno(ssi->fp));
 242 #endif
 243
 244                 if (fail) {
 245                         ret = errno;
 246                         secsave_errno = SS_ERR_OTHER;
 247
 248                         fclose(ssi->fp); /* Close file, ignore errors. */
 249                         goto free;
 250                 }
 251         }
 252 #endif
 253
 254         /* Close file. */
 255         if (fclose(ssi->fp) == EOF) {
 256                 ret = errno;
 257                 secsave_errno = SS_ERR_OTHER;
 258                 goto free;
 259         }
 260
 261         if (ssi->secure_save && ssi->file_name && ssi->tmp_file_name) {
 262                 struct stat st;
 263
 264                 /* FIXME: Race condition on ssi->file_name. The file
 265                  * named ssi->file_name may have changed since
 266                  * secure_open() call (where we stat() file and
 267                  * more..).  */
 268 #ifndef NO_UNIX_SOFTLINKS
 269                 if (g_lstat(ssi->file_name, &st) == 0)
 270 #else
 271                 if (g_stat(ssi->file_name, &st) == 0)
 272 #endif
 273                         {
 274                         /* set the dest file attributes to that of source (ignoring errors) */
 275                         if (ssi->preserve_perms)
 276                                 {
 277                                 chown(ssi->tmp_file_name, st.st_uid, st.st_gid);
 278                                 chmod(ssi->tmp_file_name, st.st_mode);
 279                                 }
 280
 281                         if (ssi->preserve_mtime)
 282                                 {
 283                                 struct utimbuf tb;
 284
 285                                 tb.actime = st.st_atime;
 286                                 tb.modtime = st.st_mtime;
 287                                 utime(ssi->tmp_file_name, &tb);
 288                                 }
 289                         }
 290                 if (debug > 2) g_printf("rename %s -> %s", ssi->tmp_file_name, ssi->file_name);
 291                 if (g_rename(ssi->tmp_file_name, ssi->file_name) == -1) {
 292                         ret = errno;
 293                         secsave_errno = SS_ERR_RENAME;
 294                         goto free;
 295                 }
 296         }
 297
 298         ret = 0;        /* Success. */
 299
 300 free:
 301         if (ssi->tmp_file_name)
 302                 {
 303                 if (ret && ssi->unlink_on_error) unlink(ssi->tmp_file_name);
 304                 g_free(ssi->tmp_file_name);
 305                 }
 306         if (ssi->file_name) g_free(ssi->file_name);
 307         if (ssi) g_free(ssi);
 308
 309         return ret;
 310 }
 311
 312
 313 /** fputs() wrapper, set ssi->err to errno on error. If ssi->err is set when
 314  * called, it immediatly returns EOF.
 315  */
 316 gint
 317 secure_fputs(SecureSaveInfo *ssi, const gchar *s)
 318 {
 319         gint ret;
 320
 321         if (!ssi || !ssi->fp || ssi->err) return EOF;
 322
 323         ret = fputs(s, ssi->fp);
 324         if (ret == EOF) {
 325                 secsave_errno = SS_ERR_OTHER;
 326                 ssi->err = errno;
 327         }
 328
 329         return ret;
 330 }
 331
 332
 333 /** fputc() wrapper, set ssi->err to errno on error. If ssi->err is set when
 334  * called, it immediatly returns EOF.
 335  */
 336 gint
 337 secure_fputc(SecureSaveInfo *ssi, gint c)
 338 {
 339         gint ret;
 340
 341         if (!ssi || !ssi->fp || ssi->err) return EOF;
 342
 343         ret = fputc(c, ssi->fp);
 344         if (ret == EOF) {
 345                 ssi->err = errno;
 346                 secsave_errno = SS_ERR_OTHER;
 347         }
 348
 349         return ret;
 350 }
 351
 352 /** fprintf() wrapper, set ssi->err to errno on error and return a negative
 353  * value. If ssi->err is set when called, it immediatly returns -1.
 354  */
 355 gint
 356 secure_fprintf(SecureSaveInfo *ssi, const gchar *format, ...)
 357 {
 358         va_list ap;
 359         gint ret;
 360
 361         if (!ssi || !ssi->fp || ssi->err) return -1;
 362
 363         va_start(ap, format);
 364         ret = vfprintf(ssi->fp, format, ap);
 365         if (ret < 0) ssi->err = errno;
 366         va_end(ap);
 367
 368         return ret;
 369 }
 370
 371 gchar *
 372 secsave_strerror(SecureSaveErrno secsave_error)
 373 {
 374         switch (secsave_error) {
 375         case SS_ERR_OPEN_READ:
 376                 return _("Cannot read the file");
 377         case SS_ERR_STAT:
 378                 return _("Cannot get file status");
 379         case SS_ERR_ACCESS:
 380                 return _("Cannot access the file");
 381         case SS_ERR_MKSTEMP:
 382                 return _("Cannot create temp file");
 383         case SS_ERR_RENAME:
 384                 return _("Cannot rename the file");
 385         case SS_ERR_DISABLED:
 386                 return _("File saving disabled by option");
 387         case SS_ERR_OUT_OF_MEM:
 388                 return _("Out of memory");
 389         case SS_ERR_OPEN_WRITE:
 390                 return _("Cannot write the file");
 391         case SS_ERR_NONE: /* Impossible. */
 392         case SS_ERR_OTHER:
 393         default:
 394                 return _("Secure file saving error");
 395         }
 396 }
 397