Released 3.4.2

Improve readdir() and file handle documentation

Fixes: #333

Add HFS+ to filesystem whitelist (#347)

Work around -Wformat-truncation=/-Wformat-overflow= warnings (#356)

sprintf(3)/snprintf(3) destination buffers need to be large enough
so that gcc doesn't warn -Wformat-truncation= or -Wformat-overflow=
when source buffer size is 1024 bytes.

--
../test/test_syscalls.c:1445:47: warning: '%s' directive output may be truncated writing 1 byte into a region of size between 0 and 1023 [-Wformat-truncation=]
 #define PATH(p)  (snprintf(path, sizeof path, "%s/%s", testdir, p), path)
                                               ^~~~~~~
../test/test_syscalls.c:1458:19:
  res = mkdir(PATH("a"), 0755);
                   ~~~

Signed-off-by: Tomohiro Kusumi <kusumi.tomohiro@gmail.com>

Correctly include config.h ("" vs <>)

This isn't a system header.

Fixes: #349

Fix the changelog entry for protocol version 7.12 (#374)

Commit 24b35c3d97ffdbf0a1f8e8b4e94ed892343603a6 had a simple mistake in
its changelog entry.

fusermount: drop privileges for chdir()

cd to mountpoint's parent directory using unprivileged rather than
privileged access. This is to ensure that unmount works on mountpoints
where root may not have privileged access.

Fixes: #376

Document fuse_fsync_in.fsync_flags and remove magic numbers (#375)

Link against libiconv when possible (#372)

Travis CI: Use Xenial instead of Trusty.

hello_ll: Fix null pointer dereference (#363)

If hello_ll is invoked without a mountpoint, it will try to call
fuse_session_mount anyway with the NULL mountpoint (which then causes a
segfault). Print out a short help message instead (taken from
passthrough_ll.c).

fuse_free_buf(): to check flags of each buffer, rather than only 0th

Fixes: #360

passthrough_ll: lo_create() should honor CACHE_NEVER (#345)

lo_create() did not honour CACHE_NEVER in lo_create(), which has an effect
on how I/O is performed after the open.

The value of CACHE_ALWAYS, which results in setting fi->keep_cache, only
has an effect for the state of the cache at open, and since the file was
just created the cache is always empty.  Hence setting this doesn't have an
effect on lo_create(), but keep it for symmetry with lo_open().

Clarify documentation of fuse_lowlevel_inval_inode

Fixes: #341.

Add support for buildin under DragonFly BSD

70e25ea74e("Fix build on non-Linux") broke build on DragonFly BSD,
or likely anything other than FreeBSD and NetBSD that is not Linux.

Signed-off-by: Tomohiro Kusumi <kusumi.tomohiro@gmail.com>

Added OpenAFS to type whitelist

Fixes: #336.

Fixed memory leak.

Fixes: #338.

Added missing date to Changelog.

Released 3.4.1

fix memory leak in print_module_help method

Fix fd/inode leak

If do_readdir() calls do_lookup(), but the latter fails, we still have
to return any entries that we already stored in the readdir buffer to
avoid leaking inodes.

do_lookup() may fail if e.g. we reach the file descriptor limit.

Avoid needless telldir() call.

Fixed lookup-count leak in do_readdir().

Added testcase for "big" readdir.

Don't segfault when called with -h.

Fixes: #327

Added .ackrc

Kill filesystem process on test cleanup.

tests: add copy_file_range() to the syscall tests

examples: add copy_file_range() support to passthrough(_fh)

The passthrough example filesystem can be used for validating the API
and the implementation in the FUSE kernel module.

libfuse: add copy_file_range() support

Add support for the relatively new copy_file_range() syscall. Backend
filesystems can now implement an efficient way of cloning/duplicating
data ranges within files. See 'man 2 copy_file_range' for more details.

Update kernel API headers

Taken from Linux kernel commit 3b7008b226f3.

Fix mounting on FreeBSD

Currently, mounting on FreeBSD fails like this:

 mount_fusefs: ZZZZ<snip> on /mountpoint: No such file or directory

This happens because right after doing argv[a++] = fdnam it's
getting freed before calling execvp().

So move this free() call after execvp(). Also, when asprintf()
fails for fdnam, close device fd before calling exit().

Fix build on non-Linux

 * Update meson.build to add mount_util.c to libfuse_sources
   unconditionally, it's non Linux-only
 * FreeBSD, like NetBSD, doesn't have mntent.h, so don't include
   that and define IGNORE_MTAB for both
 * FreeBSD, like NetBSD, has no umount2() sysctl, so similarly define
   it to unmount()

Don't crash if mountpoint is not specified.

Fixes: #319.

Released 3.3.0

Update CI build script

There is no gcc-6 package anymore.

Revert "Do not include struct fuse_buf in struct fuse_worker"

This reverts commit 161983e2416bc6e26bbbe89664fff62c48c70858,
because this causes resource leaks when threads are terminated
by pthread_cancel().

Fixes: #313.

Avoid double unmount on normal unmount in auto_unmount mode.

If a fuse filesystem was mounted in auto_unmount mode on top of an
already mounted filesystem, we would end up doing a double-unmount
when the fuse filesystem was unmounted properly.

Make the auto_unmount code less eager: unmount only if the mounted
filesystem has proper type and is returning 'Transport endpoint not
connected'.

Document when  `fuse_lowlevel_notify_*` functions may block.

Add SpectrumScale/GPFS and Lustre to FS whitelist

Fixes: #304
Signed-off-by: Valentin Plugaru <valentin.plugaru@uni.lu>

Do not fail "ninja test" when running as subproject

Bump minimum Meson version

According to user reports (https://github.com/libfuse/libfuse/pull/300),
we need at least version 0.42.

Clarified licensing terms.

Fixes: #213.

Enable more tests for passthrough_ll

passthrough_ll: initialize unused memory

For '.' and '..' entries only the file type in e.attr.st_mode and the inode
number in e.attr.st_ino are used.  But it's prudent to at least initialize
the other fields of struct fuse_entry_param as well, instead of using
random values from the stack.

passthrough_ll: allow configuring caching

Caching can be controlled with the following options:

 "cache=never": disable caching
 "cache=normal": enable caching but also refresh after the timeout
 "cache=always": never refresh cache

The timeout can be controlled with the "timeout=SEC" option, where SEC is
the number of seconds and can be an arbitrary non-negative floating point
number.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add *xattr() operations

The extended attribute functionality is enabled with the "xattr" option
(default) and disabled with the "no_xatt" option.

New operations added:

 - getxattr
 - listxattr
 - setxattr
 - removexattr

Caveat: none of these operations will work on a symbolic link, because it's
difficult to implement that without races that can result in incorrect
operation.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add flock()

Conditionally enable flock() locking on underlying filesystem, based on the
flock/no_flock options.  Default is "no_flock", meaning locking will be
local to the fuse filesystem and won't be propagated to the filesystem
passed through.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: whitespace cleanup

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add forget_multi()

Add method forget_multi() to forget multiple inodes in a single message.

Signed-off-by: Vivek Goyal <vgoyal@redhat.com>
Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add source option

Right now, passthrough_ll will use "/" as source directory for passthrough.
We need more flexibility where user can specify path of directory to be
passed through.  Hence add an option "source=<source-dir>".

Signed-off-by: Vivek Goyal <vgoyal@redhat.com>
Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add some of the missing operations

New operations added:

 - mkdir
 - mknod
 - symlink
 - link
 - unlink
 - rmdir
 - rename
 - setattr
 - fsyncdir
 - flush
 - fsync
 - statfs
 - fallocate

Caveats:

 - The utimes(2) family of syscalls will fail on symlinks on 4.18 and
   earlier kernels.  Hoping to add support to later kernels.

 - The link(2) and linkat(2) system calls will fail on symlinks unless running
   with privileges (CAP_DAC_READ_SEARCH).

Signed-off-by: Vivek Goyal <vgoyal@redhat.com>
Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add is_symlink to lo_inode

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: set umask at startup

Like all the other passthrough examples.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: fix refcount for "." and ".." entries

Kernel is not expecting an elevated lookup count for the "." and ".."
entries when doing READDIRPLUS.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add locking to inode cache

Otherwise it may crash when running multithreaded.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

Add unprivileged option in `mount.fuse3`

The unprivileged option allows to run the FUSE file system process
without privileges by dropping capabilities and preventing them from
being re-acquired via setuid / fscaps etc. To accomplish this,
mount.fuse sets up the `/dev/fuse` file descriptor and mount itself
and passes the file descriptor via the `/dev/fd/%u` mountpoint syntax
to the FUSE file system.

Allow passing `/dev/fuse` file descriptor from parent process

This adds support for a mode of operation in which a privileged parent
process opens `/dev/fuse` and takes care of mounting. The FUSE file
system daemon can then run as an unprivileged child that merely
processes requests on the FUSE file descriptor, which get passed using
the special `/dev/fd/%u` syntax for the mountpoint parameter.

The main benefit is that no privileged operations need to be performed
by the FUSE file system daemon itself directly or indirectly, so the
FUSE process can run with fully unprivileged and mechanisms like
securebits and no_new_privs can be used to prevent subprocesses from
re-acquiring privilege via setuid, fscaps, etc. This reduces risk in
case the FUSE file system gets exploited by malicious file system
data.

Below is an example that illustrates this. Note that I'm using shell
for presentation purposes, the expectation is that the parent process
will implement the equivalent of the `mount -i` and `capsh` commands.

```
\# example/hello can mount successfully with privilege
$ sudo sh -c "LD_LIBRARY_PATH=build/lib ./example/hello /mnt/tmp"
$ sudo cat /mnt/tmp/hello
Hello World!
$ sudo umount /mnt/tmp

\# example/hello fails to mount without privilege
$ sudo capsh --drop=all --secbits=0x2f -- -c 'LD_LIBRARY_PATH=build/lib ./example/hello -f /mnt/tmp'
fusermount3: mount failed: Operation not permitted

\# Passing FUSE file descriptor via /dev/fd/%u allows example/hello to work without privilege
$ sudo sh -c '
      exec 17<>/dev/fuse
      mount -i -o nodev,nosuid,noexec,fd=17,rootmode=40000,user_id=0,group_id=0 -t fuse hello /mnt/tmp
      capsh --drop=all --secbits=0x2f -- -c "LD_LIBRARY_PATH=build/lib example/hello /dev/fd/17"
    '
$ sudo cat /mnt/tmp/hello
Hello World!
$ sudo umount /mnt/tmp
```

Add build options for utils and examples

Allow skipping utils build & installation (-Dutils=false) and examples
build (-Dexamples=false). By default behaviour is unchanged (both are
true: utils and examples get build).

Fix unlink errno check

Clarify what qualifies as a "related operation" for notify_inval_entry.

Don't enable adaptive readdirplus unless fs has readdir() handler.

Do not include struct fuse_buf in struct fuse_worker

This is only used in fuse_do_work(), so we can put it on
the stack.

Don't special-case bulid of mount_util.c.

We already support out of source builds without this.

Released 3.2.6

Do not hardcode /etc/fuse.conf path.

Updated ChangeLog with recent changes.

return different non-zero error codes (#290)

Return different error codes from fuse_main()

Fix memory leak of FUSE modules

Fix invalid free of memory pointer in 'struct fuse_buf'

Make meson build scripts subprojects friendly

Multiple meson build scripts improvements including:
 * Bump meson requirement to 0.40.1 (0.40 already required)
 * Declare a dependency object for main library
 * Stop using add_global_arguments()
 * Various minor style fixes

Add bcachefs to mountpoint file system whitelist

Add FAT to mountpoint file system whitelist

Realphabetize and re-document mountpoint file system whitelist

Add autofs to mountpoint file system whitelist

Remove unused member of 'struct fuse_dh'

Released 3.2.5

Added ChangeLog entry for hardening patches.

test_write_cache: Use fuse_session_exit() to stop filesystem thread

Using fuse_session_exit() followed by fuse_session_unmount() ensures
that a proper cleanup and shutdown is performed.

example/{hello,null}: Fix memory leaks

test_write_cache: Fix memory leaks

fusermount: Fix memory leaks

Fix readdir() bug when a non-zero offset is specified in filler (#269)

The bug occurs when a filesystem client reads a directory until the end,
seeks using seekdir() to some valid non-zero position and calls
readdir(). A valid 'struct dirent *' is expected, but NULL is returned
instead. Pseudocode demonstrating the bug:

DIR *dp = opendir("some_dir");
struct dirent *de = readdir(dp);

/* Get offset of the second entry */
long offset = telldir(dp);

/* Read directory until the end */
while (de)
de = readdir(de);

seekdir(dp, offset);
de = readdir(dp);
/* de must contain the second entry, but NULL is returned instead */

The reason of the bug is that when the end of directory is reached, the
kernel calls FUSE_READDIR op with an offset at the end of directory, so
the filesystem's .readdir callback never calls the filler function, and
we end up with dh->filled set to 1. After seekdir(), FUSE_READDIR is
called again with a new offset, but this time the filesystem's .readdir
callback is never called, and an empty reply is returned.

Fix by setting dh->filled to 1 only when zero offsets are given to
filler function.

fusermount: whitelist known-good filesystems for mountpoints

Before:

$ _FUSE_COMMFD=1 priv_strace -s8000 -e trace=mount util/fusermount3 /proc/self/fd
mount("/dev/fuse", ".", "fuse", MS_NOSUID|MS_NODEV, "fd=3,rootmode=40000,user_id=379777,group_id=5001") = 0
sending file descriptor: Socket operation on non-socket
+++ exited with 1 +++

After:

$ _FUSE_COMMFD=1 priv_strace -s8000 -e trace=mount util/fusermount3 /proc/self/fd
util/fusermount3: mounting over filesystem type 0x009fa0 is forbidden
+++ exited with 1 +++

This patch could potentially have security
impact on some systems that are configured with allow_other;
see https://launchpad.net/bugs/1530566 for an example of how a similar
issue in the ecryptfs mount helper was exploitable. However, the FUSE
mount helper performs slightly different security checks, so that exact
attack doesn't work with fusermount; I don't know of any specific attack
you could perform using this, apart from faking the SELinux context of your
process when someone's looking at a process listing. Potential targets for
overwrite are (looking on a system with a 4.9 kernel):

writable only for the current process:
/proc/self/{fd,map_files}
(Yes, "ls -l" claims that you don't have write access, but that's not true;
"find -writable" will show you what access you really have.)

writable also for other owned processes:
/proc/$pid/{sched,autogroup,comm,mem,clear_refs,attr/*,oom_adj,
oom_score_adj,loginuid,coredump_filter,uid_map,gid_map,projid_map,
setgroups,timerslack_ns}

fusermount: refuse unknown options

Blacklists are notoriously fragile; especially if the kernel wishes to add
some security-critical mount option at a later date, all existing systems
with older versions of fusermount installed will suddenly have a security
problem.
Additionally, if the kernel's option parsing became a tiny bit laxer, the
blacklist could probably be bypassed.

Whitelist known-harmless flags instead, even if it's slightly more
inconvenient.

fusermount: bail out on transient config read failure

If an attacker wishes to use the default configuration instead of the
system's actual configuration, they can attempt to trigger a failure in
read_conf(). This only permits increasing mount_max if it is lower than the
default, so it's not particularly interesting. Still, this should probably
be prevented robustly; bail out if funny stuff happens when we're trying to
read the config.

Note that the classic attack trick of opening so many files that the
system-wide limit is reached won't work here - because fusermount only
drops the fsuid, not the euid, the process is running with euid=0 and
CAP_SYS_ADMIN, so it bypasses the number-of-globally-open-files check in
get_empty_filp() (unless you're inside a user namespace).

fusermount: don't feed "escaped commas" into mount options

The old code permits the following behavior:

$ _FUSE_COMMFD=10000 priv_strace -etrace=mount -s200 fusermount -o 'foobar=\,allow_other' mount
mount("/dev/fuse", ".", "fuse", MS_NOSUID|MS_NODEV, "foobar=\\,allow_other,fd=3,rootmode=40000,user_id=1000,group_id=1000") = -1 EINVAL (Invalid argument)

However, backslashes do not have any special meaning for the kernel here.

As it happens, you can't abuse this because there is no FUSE mount option
that takes a string value that can contain backslashes; but this is very
brittle. Don't interpret "escape characters" in places where they don't
work.

fusermount: prevent silent truncation of mount options

Currently, in the kernel, copy_mount_options() copies in one page of
userspace memory (or less if some of that memory area is not mapped).
do_mount() then writes a null byte to the last byte of the copied page.
This means that mount option strings longer than PAGE_SIZE-1 bytes get
truncated silently.

Therefore, this can happen:

user@d9-ut:~$ _FUSE_COMMFD=10000 fusermount -o "$(perl -e 'print ","x4000')" mount
sending file descriptor: Bad file descriptor
user@d9-ut:~$ grep /mount /proc/mounts
/dev/fuse /home/user/mount fuse rw,nosuid,nodev,relatime,user_id=1000,group_id=1000 0 0
user@d9-ut:~$ fusermount -u mount
user@d9-ut:~$ _FUSE_COMMFD=10000 fusermount -o "$(perl -e 'print ","x4050')" mount
sending file descriptor: Bad file descriptor
user@d9-ut:~$ grep /mount /proc/mounts
/dev/fuse /home/user/mount fuse rw,nosuid,nodev,relatime,user_id=1000,group_id=100 0 0
user@d9-ut:~$ fusermount -u mount
user@d9-ut:~$ _FUSE_COMMFD=10000 fusermount -o "$(perl -e 'print ","x4051')" mount
sending file descriptor: Bad file descriptor
user@d9-ut:~$ grep /mount /proc/mounts
/dev/fuse /home/user/mount fuse rw,nosuid,nodev,relatime,user_id=1000,group_id=10 0 0
user@d9-ut:~$ fusermount -u mount
user@d9-ut:~$ _FUSE_COMMFD=10000 fusermount -o "$(perl -e 'print ","x4052')" mount
sending file descriptor: Bad file descriptor
user@d9-ut:~$ grep /mount /proc/mounts
/dev/fuse /home/user/mount fuse rw,nosuid,nodev,relatime,user_id=1000,group_id=1 0 0
user@d9-ut:~$ fusermount -u mount

I'm not aware of any context in which this is actually exploitable - you'd
still need the UIDs to fit, and you can't do it if the three GIDs of the
process don't match (in the case of a typical setgid binary), but it does
look like something that should be fixed.

I also plan to try to get this fixed on the kernel side.

Released 3.2.4

Don't assume sub-second resolution for st_atime/st_mtime.

Fixes: #224

Use triple quotes for multiline string.

Single quotes will become an error in a future meson release.

Document that access() is also called on chdir().

Source: Miklos Szeredi on fuse-devel, Wednesday, 4 July 2018 15:29.

Source LSB init functions

Fix manpage filename for mount.fuse3

fuse.h: fix typo (currenlty -> currently)

fix documentation for opendir in fuse_operations

the filehandle from opendir is passed to releasedir - there is no
closedir function in fuse_operations

rename: perform user mode dir loop check when not done in kernel

    Fix conditionals as per maintainer's request.

changelog: add info on rename deadlock fix

rename: perform user mode dir loop check when not done in kernel

    Linux performs the dir loop check (rename(a, a/b/c)
    or rename(a/b/c, a), etc.) in kernel. Unfortunately
    other systems do not perform this check (e.g. FreeBSD).
    This results in a deadlock in get_path2, because libfuse
    did not expect to handle such cases.

    We add a check_dir_loop function that performs the dir
    loop check in user mode and enable it on systems that
    need it.

Released 3.2.3