[d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Vitaly Chikunov]

`kernel.unprivileged_io_uring_disabled=1' is set to disable io_uring
functionality for non-roots (default). Set to 0 to allow io_uring.

Signed-off-by: Vitaly Chikunov <vt@altlinux.org>
---
 io_uring/io_uring.c |  9 +++++++++
 kernel/sysctl.c     | 10 ++++++++++
 2 files changed, 19 insertions(+)

diff --git a/io_uring/io_uring.c b/io_uring/io_uring.c
index cea5de98c4232..e786f63f78d6f 100644
--- a/io_uring/io_uring.c
+++ b/io_uring/io_uring.c
@@ -151,6 +151,7 @@ static void io_move_task_work_from_local(struct io_ring_ctx *ctx);
 static void __io_submit_flush_completions(struct io_ring_ctx *ctx);
 
 static struct kmem_cache *req_cachep;
+int sysctl_unprivileged_io_uring_disabled __read_mostly = 1;
 
 struct sock *io_uring_get_socket(struct file *file)
 {
@@ -3588,6 +3589,14 @@ static long io_uring_setup(u32 entries, struct io_uring_params __user *params)
 	struct io_uring_params p;
 	int i;
 
+	if (sysctl_unprivileged_io_uring_disabled && !capable(CAP_SYS_ADMIN)) {
+		/* Inform user of the new setting so they can disable it. */
+		pr_warn_once("io_uring: kernel.unprivileged_io_uring_disabled knob is enabled.\n");
+		pr_notice_ratelimited("%s (pid %d) io_uring_setup request denied.\n",
+				      current->comm, current->pid);
+		return -EACCES;
+	}
+
 	if (copy_from_user(&p, params, sizeof(p)))
 		return -EFAULT;
 	for (i = 0; i < ARRAY_SIZE(p.resv); i++) {
diff --git a/kernel/sysctl.c b/kernel/sysctl.c
index ae711d120ba35..ce382deb66b42 100644
--- a/kernel/sysctl.c
+++ b/kernel/sysctl.c
@@ -100,6 +100,7 @@ static const int six_hundred_forty_kb = 640 * 1024;
 extern int sysctl_userns_restrict;
 #endif
 extern int sysctl_idmap_mounts;
+extern int sysctl_unprivileged_io_uring_disabled;
 
 
 
@@ -1939,6 +1940,15 @@ static struct ctl_table kern_table[] = {
 		.extra2		= SYSCTL_ONE,
 	},
 #endif
+	{
+		.procname       = "unprivileged_io_uring_disabled",
+		.data           = &sysctl_unprivileged_io_uring_disabled,
+		.maxlen         = sizeof(int),
+		.mode           = 0644,
+		.proc_handler   = proc_dointvec_minmax,
+		.extra1         = SYSCTL_ZERO,
+		.extra2         = SYSCTL_ONE,
+	},
 	{
 		.procname	= "ngroups_max",
 		.data		= (void *)&ngroups_max,
-- 
2.33.6

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Dmitry V. Levin]

On Thu, Jan 26, 2023 at 10:50:17PM +0300, Vitaly Chikunov wrote:
> `kernel.unprivileged_io_uring_disabled=1' is set to disable io_uring
> functionality for non-roots (default). Set to 0 to allow io_uring.

Makes sense.


-- 
ldv

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Vitaly Chikunov]

Dmitry,

On Fri, Jan 27, 2023 at 08:30:22PM +0300, Dmitry V. Levin wrote:
> On Thu, Jan 26, 2023 at 10:50:17PM +0300, Vitaly Chikunov wrote:
> > `kernel.unprivileged_io_uring_disabled=1' is set to disable io_uring
> > functionality for non-roots (default). Set to 0 to allow io_uring.
> 
> Makes sense.

Perhaps, p10 should have default 0 and Sisyphus default 1?
Or both should have default 1?

(Only affected package that I care is qemu.)

  $ apt-cache whatdepends liburing | grep -v -e Depends -e liburing
  qemu-img-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
  librbd1-16.2.10-alt2:sisyphus+308894.1000.1.1@1666593027
  qemu-guest-agent-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
  xfstests-2022.09.25-alt1:sisyphus+308127.100.1.1@1665255814
  libvitastor-client-0.8.4-alt1:sisyphus+313710.100.1.1@1674123626
  libvitastor-blk-0.8.4-alt1:sisyphus+313710.100.1.1@1674123626
  qemu-pr-helper-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
  pve-qemu-img-1:7.1.0-alt4:sisyphus+310987.100.1.1@1669920082
  glusterfs9-9.3-alt2:sisyphus+287347.100.1.1@1634390596


Thanks,

> 
> 
> -- 
> ldv
> _______________________________________________
> devel-kernel mailing list
> devel-kernel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel-kernel

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Dmitry V. Levin]

On Fri, Jan 27, 2023 at 11:10:14PM +0300, Vitaly Chikunov wrote:
> Dmitry,
> 
> On Fri, Jan 27, 2023 at 08:30:22PM +0300, Dmitry V. Levin wrote:
> > On Thu, Jan 26, 2023 at 10:50:17PM +0300, Vitaly Chikunov wrote:
> > > `kernel.unprivileged_io_uring_disabled=1' is set to disable io_uring
> > > functionality for non-roots (default). Set to 0 to allow io_uring.
> > 
> > Makes sense.
> 
> Perhaps, p10 should have default 0 and Sisyphus default 1?
> Or both should have default 1?
> 
> (Only affected package that I care is qemu.)
> 
>   $ apt-cache whatdepends liburing | grep -v -e Depends -e liburing
>   qemu-img-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
>   librbd1-16.2.10-alt2:sisyphus+308894.1000.1.1@1666593027
>   qemu-guest-agent-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
>   xfstests-2022.09.25-alt1:sisyphus+308127.100.1.1@1665255814
>   libvitastor-client-0.8.4-alt1:sisyphus+313710.100.1.1@1674123626
>   libvitastor-blk-0.8.4-alt1:sisyphus+313710.100.1.1@1674123626
>   qemu-pr-helper-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
>   pve-qemu-img-1:7.1.0-alt4:sisyphus+310987.100.1.1@1669920082
>   glusterfs9-9.3-alt2:sisyphus+287347.100.1.1@1634390596

$ echo liburing-devel |join -t$'\t' -11 -22 -o2.1 - beehive/stats/Sisyphus/x86_64/ufb-2 |sort -u |join -t$'\t' - ALT/acl/list.packages.sisyphus
btrfs-progs	rider @everybody
ceph	shaba @qa @everybody
glusterfs9	lav @everybody
pve-qemu	shrek shaba
qemu	shaba glebfm iv vt
rocksdb	@nobody
vitastor	shaba @everybody
xfstests	vt @everybody

Let's ask these people?


-- 
ldv

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Vladimir D. Seleznev]

On Fri, Jan 27, 2023 at 11:10:14PM +0300, Vitaly Chikunov wrote:
> Dmitry,
> 
> On Fri, Jan 27, 2023 at 08:30:22PM +0300, Dmitry V. Levin wrote:
> > On Thu, Jan 26, 2023 at 10:50:17PM +0300, Vitaly Chikunov wrote:
> > > `kernel.unprivileged_io_uring_disabled=1' is set to disable io_uring
> > > functionality for non-roots (default). Set to 0 to allow io_uring.
> > 
> > Makes sense.
> 
> Perhaps, p10 should have default 0 and Sisyphus default 1?
> Or both should have default 1?
> 
> (Only affected package that I care is qemu.)
> 
>   $ apt-cache whatdepends liburing | grep -v -e Depends -e liburing
>   qemu-img-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
>   librbd1-16.2.10-alt2:sisyphus+308894.1000.1.1@1666593027
>   qemu-guest-agent-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
>   xfstests-2022.09.25-alt1:sisyphus+308127.100.1.1@1665255814
>   libvitastor-client-0.8.4-alt1:sisyphus+313710.100.1.1@1674123626
>   libvitastor-blk-0.8.4-alt1:sisyphus+313710.100.1.1@1674123626
>   qemu-pr-helper-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
>   pve-qemu-img-1:7.1.0-alt4:sisyphus+310987.100.1.1@1669920082
>   glusterfs9-9.3-alt2:sisyphus+287347.100.1.1@1634390596

AFAIK, QEMU does not require io_uring in the runtime, it only uses this
for optional functionalities and works well on the kernels without
io_uring support.

-- 
   WBR,
   Vladimir D. Seleznev

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Vitaly Chikunov]

On Fri, Jan 27, 2023 at 11:35:41PM +0300, Dmitry V. Levin wrote:
> On Fri, Jan 27, 2023 at 11:10:14PM +0300, Vitaly Chikunov wrote:
> > Dmitry,
> > 
> > On Fri, Jan 27, 2023 at 08:30:22PM +0300, Dmitry V. Levin wrote:
> > > On Thu, Jan 26, 2023 at 10:50:17PM +0300, Vitaly Chikunov wrote:
> > > > `kernel.unprivileged_io_uring_disabled=1' is set to disable io_uring
> > > > functionality for non-roots (default). Set to 0 to allow io_uring.
> > > 
> > > Makes sense.
> > 
> > Perhaps, p10 should have default 0 and Sisyphus default 1?
> > Or both should have default 1?
> > 
> > (Only affected package that I care is qemu.)
> > 
> >   $ apt-cache whatdepends liburing | grep -v -e Depends -e liburing
> >   qemu-img-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
> >   librbd1-16.2.10-alt2:sisyphus+308894.1000.1.1@1666593027
> >   qemu-guest-agent-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
> >   xfstests-2022.09.25-alt1:sisyphus+308127.100.1.1@1665255814
> >   libvitastor-client-0.8.4-alt1:sisyphus+313710.100.1.1@1674123626
> >   libvitastor-blk-0.8.4-alt1:sisyphus+313710.100.1.1@1674123626
> >   qemu-pr-helper-7.2.0-alt3:sisyphus+312630.500.5.2@1673473326
> >   pve-qemu-img-1:7.1.0-alt4:sisyphus+310987.100.1.1@1669920082
> >   glusterfs9-9.3-alt2:sisyphus+287347.100.1.1@1634390596
> 
> $ echo liburing-devel |join -t$'\t' -11 -22 -o2.1 - beehive/stats/Sisyphus/x86_64/ufb-2 |sort -u |join -t$'\t' - ALT/acl/list.packages.sisyphus
> btrfs-progs	rider @everybody
> ceph	shaba @qa @everybody
> glusterfs9	lav @everybody
> pve-qemu	shrek shaba
> qemu	shaba glebfm iv vt
> rocksdb	@nobody
> vitastor	shaba @everybody
> xfstests	vt @everybody
> 
> Let's ask these people?

I queued the patch (with default changed to have no restrictions) into
the next un-def/sisyphus, so people can play and have fun with it.

Thanks,

> 
> 
> -- 
> ldv
> _______________________________________________
> devel-kernel mailing list
> devel-kernel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel-kernel

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Alexey Sheplyakov]

Здравствуйте!

On Thu, Jan 26, 2023 at 10:50:17PM +0300, Vitaly Chikunov wrote:
> `kernel.unprivileged_io_uring_disabled=1' is set to disable io_uring
> functionality for non-roots (default). Set to 0 to allow io_uring.

Это уже откровенное вредительство. Вы ещё epoll отключите, или unlink.
 

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Vitaly Chikunov]

On Mon, Jan 30, 2023 at 01:26:32PM +0400, Alexey Sheplyakov wrote:
> Здравствуйте!
> 
> On Thu, Jan 26, 2023 at 10:50:17PM +0300, Vitaly Chikunov wrote:
> > `kernel.unprivileged_io_uring_disabled=1' is set to disable io_uring
> > functionality for non-roots (default). Set to 0 to allow io_uring.
> 
> Это уже откровенное вредительство. Вы ещё epoll отключите, или unlink.

Не закрытие проблем безопасности может быть интерпретировано как
вредительство даже в большей степени.

В RHEL/Centos io_uring отключен на уровне конфигурации ядра[1]. У нас
же предлагается дать возможность администратору системы решать.

Спасибо,

[1] https://bugzilla.redhat.com/show_bug.cgi?id=1964537

>  
> _______________________________________________
> devel-kernel mailing list
> devel-kernel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel-kernel

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Alexey V. Vissarionov]

On 2023-01-30 23:09:22 +0300, Vitaly Chikunov wrote:

 >>> `kernel.unprivileged_io_uring_disabled=1' is set to
 >>> disable io_uring functionality for non-roots (default).
 >> Set to 0 to allow io_uring.
 >> Это уже откровенное вредительство. Вы ещё epoll отключите,
 >> или unlink.
 > Не закрытие проблем безопасности может быть интерпретировано
 > как вредительство даже в большей степени.

Нарушение доступности само по себе является инцидентом ИБ.
И в данном случае оно создает больший риск (более вероятно
при, будем считать, том же ущербе), нежели менее вероятное
(хотя да, теоретически возможное) нарушение секретности или
целостности при включенном IO_URING.

На всякий случай: IO_URING используется для BLK_DEV_UBLK
(и, кстати, больше пока ни для чего).

 > В RHEL/Centos io_uring отключен на уровне конфигурации
 > ядра[1].

А в апстриме секция "config IO_URING" в файле init/Kconfig
содержит "default y", и кому верить? :-)

 > У нас же предлагается дать возможность администратору
 > системы решать.

"Решать" - это kernel.unprivileged_io_uring_disabled (на кой
хрен оно нужно, мне неочевидно, ибо security/selinux/hooks.c
предусматривает selinux_uring_override_creds(), ну да пусть
будет: еще один параметр настройки пока никому не вредил).

А изменение значения по умолчанию - уже "решать за него".


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Vitaly Chikunov]

On Wed, Feb 01, 2023 at 12:31:34AM +0300, Alexey V. Vissarionov wrote:
> On 2023-01-30 23:09:22 +0300, Vitaly Chikunov wrote:
> 
>  >>> `kernel.unprivileged_io_uring_disabled=1' is set to
>  >>> disable io_uring functionality for non-roots (default).
>  >> Set to 0 to allow io_uring.
>  >> Это уже откровенное вредительство. Вы ещё epoll отключите,
>  >> или unlink.
>  > Не закрытие проблем безопасности может быть интерпретировано
>  > как вредительство даже в большей степени.
> 
> Нарушение доступности само по себе является инцидентом ИБ.
> И в данном случае оно создает больший риск (более вероятно
> при, будем считать, том же ущербе), нежели менее вероятное
> (хотя да, теоретически возможное) нарушение секретности или
> целостности при включенном IO_URING.

Как оценивается вероятность эксплуатации уязвимости, для
которой опубликован эксплоит?

> 
> На всякий случай: IO_URING используется для BLK_DEV_UBLK
> (и, кстати, больше пока ни для чего).
> 
>  > В RHEL/Centos io_uring отключен на уровне конфигурации
>  > ядра[1].
> 
> А в апстриме секция "config IO_URING" в файле init/Kconfig
> содержит "default y", и кому верить? :-)
> 
>  > У нас же предлагается дать возможность администратору
>  > системы решать.
> 
> "Решать" - это kernel.unprivileged_io_uring_disabled (на кой
> хрен оно нужно, мне неочевидно, ибо security/selinux/hooks.c
> предусматривает selinux_uring_override_creds(), ну да пусть
> будет: еще один параметр настройки пока никому не вредил).
> 
> А изменение значения по умолчанию - уже "решать за него".
> 
> 
> -- 
> Alexey V. Vissarionov
> gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
> GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net
> _______________________________________________
> devel-kernel mailing list
> devel-kernel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel-kernel

Re: [d-kernel] [RFC] ALT: io_uring, sysctl: Add 'kernel.unprivileged_io_uring_disabled' sysctl

[Alexey V. Vissarionov]

On 2023-02-01 06:24:44 +0300, Vitaly Chikunov wrote:

 >>>> Это уже откровенное вредительство. Вы ещё epoll отключите,
 >>>> или unlink.
 >>> Не закрытие проблем безопасности может быть интерпретировано
 >>> как вредительство даже в большей степени.
 >> Нарушение доступности само по себе является инцидентом ИБ.
 >> И в данном случае оно создает больший риск (более вероятно
 >> при, будем считать, том же ущербе), нежели менее вероятное
 >> (хотя да, теоретически возможное) нарушение секретности или
 >> целостности при включенном IO_URING.
 > Как оценивается вероятность эксплуатации уязвимости, для
 > которой опубликован эксплоит?

По формуле условной вероятности: произведение вероятностей того,
что злодей получит доступ к данному эксплойту и того, что он при
этом получит необходимый доступ к целевой системе.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net