Released 3.2.6

Do not hardcode /etc/fuse.conf path.

Updated ChangeLog with recent changes.

return different non-zero error codes (#290)

Return different error codes from fuse_main()

Fix memory leak of FUSE modules

Fix invalid free of memory pointer in 'struct fuse_buf'

Make meson build scripts subprojects friendly

Multiple meson build scripts improvements including:
 * Bump meson requirement to 0.40.1 (0.40 already required)
 * Declare a dependency object for main library
 * Stop using add_global_arguments()
 * Various minor style fixes

Add bcachefs to mountpoint file system whitelist

Add FAT to mountpoint file system whitelist

Realphabetize and re-document mountpoint file system whitelist

Add autofs to mountpoint file system whitelist

Remove unused member of 'struct fuse_dh'

Released 3.2.5

Added ChangeLog entry for hardening patches.

test_write_cache: Use fuse_session_exit() to stop filesystem thread

Using fuse_session_exit() followed by fuse_session_unmount() ensures
that a proper cleanup and shutdown is performed.

example/{hello,null}: Fix memory leaks

test_write_cache: Fix memory leaks

fusermount: Fix memory leaks

Fix readdir() bug when a non-zero offset is specified in filler (#269)

The bug occurs when a filesystem client reads a directory until the end,
seeks using seekdir() to some valid non-zero position and calls
readdir(). A valid 'struct dirent *' is expected, but NULL is returned
instead. Pseudocode demonstrating the bug:

DIR *dp = opendir("some_dir");
struct dirent *de = readdir(dp);

/* Get offset of the second entry */
long offset = telldir(dp);

/* Read directory until the end */
while (de)
de = readdir(de);

seekdir(dp, offset);
de = readdir(dp);
/* de must contain the second entry, but NULL is returned instead */

The reason of the bug is that when the end of directory is reached, the
kernel calls FUSE_READDIR op with an offset at the end of directory, so
the filesystem's .readdir callback never calls the filler function, and
we end up with dh->filled set to 1. After seekdir(), FUSE_READDIR is
called again with a new offset, but this time the filesystem's .readdir
callback is never called, and an empty reply is returned.

Fix by setting dh->filled to 1 only when zero offsets are given to
filler function.

fusermount: whitelist known-good filesystems for mountpoints

Before:

$ _FUSE_COMMFD=1 priv_strace -s8000 -e trace=mount util/fusermount3 /proc/self/fd
mount("/dev/fuse", ".", "fuse", MS_NOSUID|MS_NODEV, "fd=3,rootmode=40000,user_id=379777,group_id=5001") = 0
sending file descriptor: Socket operation on non-socket
+++ exited with 1 +++

After:

$ _FUSE_COMMFD=1 priv_strace -s8000 -e trace=mount util/fusermount3 /proc/self/fd
util/fusermount3: mounting over filesystem type 0x009fa0 is forbidden
+++ exited with 1 +++

This patch could potentially have security
impact on some systems that are configured with allow_other;
see https://launchpad.net/bugs/1530566 for an example of how a similar
issue in the ecryptfs mount helper was exploitable. However, the FUSE
mount helper performs slightly different security checks, so that exact
attack doesn't work with fusermount; I don't know of any specific attack
you could perform using this, apart from faking the SELinux context of your
process when someone's looking at a process listing. Potential targets for
overwrite are (looking on a system with a 4.9 kernel):

writable only for the current process:
/proc/self/{fd,map_files}
(Yes, "ls -l" claims that you don't have write access, but that's not true;
"find -writable" will show you what access you really have.)

writable also for other owned processes:
/proc/$pid/{sched,autogroup,comm,mem,clear_refs,attr/*,oom_adj,
oom_score_adj,loginuid,coredump_filter,uid_map,gid_map,projid_map,
setgroups,timerslack_ns}

fusermount: refuse unknown options

Blacklists are notoriously fragile; especially if the kernel wishes to add
some security-critical mount option at a later date, all existing systems
with older versions of fusermount installed will suddenly have a security
problem.
Additionally, if the kernel's option parsing became a tiny bit laxer, the
blacklist could probably be bypassed.

Whitelist known-harmless flags instead, even if it's slightly more
inconvenient.

fusermount: bail out on transient config read failure

If an attacker wishes to use the default configuration instead of the
system's actual configuration, they can attempt to trigger a failure in
read_conf(). This only permits increasing mount_max if it is lower than the
default, so it's not particularly interesting. Still, this should probably
be prevented robustly; bail out if funny stuff happens when we're trying to
read the config.

Note that the classic attack trick of opening so many files that the
system-wide limit is reached won't work here - because fusermount only
drops the fsuid, not the euid, the process is running with euid=0 and
CAP_SYS_ADMIN, so it bypasses the number-of-globally-open-files check in
get_empty_filp() (unless you're inside a user namespace).

fusermount: don't feed "escaped commas" into mount options

The old code permits the following behavior:

$ _FUSE_COMMFD=10000 priv_strace -etrace=mount -s200 fusermount -o 'foobar=\,allow_other' mount
mount("/dev/fuse", ".", "fuse", MS_NOSUID|MS_NODEV, "foobar=\\,allow_other,fd=3,rootmode=40000,user_id=1000,group_id=1000") = -1 EINVAL (Invalid argument)

However, backslashes do not have any special meaning for the kernel here.

As it happens, you can't abuse this because there is no FUSE mount option
that takes a string value that can contain backslashes; but this is very
brittle. Don't interpret "escape characters" in places where they don't
work.

fusermount: prevent silent truncation of mount options

Currently, in the kernel, copy_mount_options() copies in one page of
userspace memory (or less if some of that memory area is not mapped).
do_mount() then writes a null byte to the last byte of the copied page.
This means that mount option strings longer than PAGE_SIZE-1 bytes get
truncated silently.

Therefore, this can happen:

user@d9-ut:~$ _FUSE_COMMFD=10000 fusermount -o "$(perl -e 'print ","x4000')" mount
sending file descriptor: Bad file descriptor
user@d9-ut:~$ grep /mount /proc/mounts
/dev/fuse /home/user/mount fuse rw,nosuid,nodev,relatime,user_id=1000,group_id=1000 0 0
user@d9-ut:~$ fusermount -u mount
user@d9-ut:~$ _FUSE_COMMFD=10000 fusermount -o "$(perl -e 'print ","x4050')" mount
sending file descriptor: Bad file descriptor
user@d9-ut:~$ grep /mount /proc/mounts
/dev/fuse /home/user/mount fuse rw,nosuid,nodev,relatime,user_id=1000,group_id=100 0 0
user@d9-ut:~$ fusermount -u mount
user@d9-ut:~$ _FUSE_COMMFD=10000 fusermount -o "$(perl -e 'print ","x4051')" mount
sending file descriptor: Bad file descriptor
user@d9-ut:~$ grep /mount /proc/mounts
/dev/fuse /home/user/mount fuse rw,nosuid,nodev,relatime,user_id=1000,group_id=10 0 0
user@d9-ut:~$ fusermount -u mount
user@d9-ut:~$ _FUSE_COMMFD=10000 fusermount -o "$(perl -e 'print ","x4052')" mount
sending file descriptor: Bad file descriptor
user@d9-ut:~$ grep /mount /proc/mounts
/dev/fuse /home/user/mount fuse rw,nosuid,nodev,relatime,user_id=1000,group_id=1 0 0
user@d9-ut:~$ fusermount -u mount

I'm not aware of any context in which this is actually exploitable - you'd
still need the UIDs to fit, and you can't do it if the three GIDs of the
process don't match (in the case of a typical setgid binary), but it does
look like something that should be fixed.

I also plan to try to get this fixed on the kernel side.

Released 3.2.4

Don't assume sub-second resolution for st_atime/st_mtime.

Fixes: #224

Use triple quotes for multiline string.

Single quotes will become an error in a future meson release.

Document that access() is also called on chdir().

Source: Miklos Szeredi on fuse-devel, Wednesday, 4 July 2018 15:29.

Source LSB init functions

Fix manpage filename for mount.fuse3

fuse.h: fix typo (currenlty -> currently)

fix documentation for opendir in fuse_operations

the filehandle from opendir is passed to releasedir - there is no
closedir function in fuse_operations

rename: perform user mode dir loop check when not done in kernel

    Fix conditionals as per maintainer's request.

changelog: add info on rename deadlock fix

rename: perform user mode dir loop check when not done in kernel

    Linux performs the dir loop check (rename(a, a/b/c)
    or rename(a/b/c, a), etc.) in kernel. Unfortunately
    other systems do not perform this check (e.g. FreeBSD).
    This results in a deadlock in get_path2, because libfuse
    did not expect to handle such cases.

    We add a check_dir_loop function that performs the dir
    loop check in user mode and enable it on systems that
    need it.

Released 3.2.3

add_arg(): check for overflow

Fixes: #222.

Fix compile-time warnings on IGNORE_MTAB

Silence below warnings which appear if IGNORE_MTAB is defined.

[59/64] Compiling C object 'util/fusermount3@exe/fusermount.c.o'.
../util/fusermount.c:493:12: warning: function declaration isn't a prototype [-Wstrict-prototypes]
 static int count_fuse_fs()
            ^~~~~~~~~~~~~
../util/fusermount.c: In function 'unmount_fuse':
../util/fusermount.c:508:46: warning: unused parameter 'quiet' [-Wunused-parameter]
 static int unmount_fuse(const char *mnt, int quiet, int lazy)
                                              ^~~~~

Fix path to pytest cache directory.

Invert calloc(3) argument order (`nmemb` comes first)

No functional difference expected, but should still follow the standard.
http://pubs.opengroup.org/onlinepubs/009695399/functions/calloc.html

Drop unneeded void cast for actually used local variable

`int sig` is acutually used, so `(void) sig;` is unneeded.

Drop redundant ; from FUSE_REGISTER_MODULE()

Callers do (and should) use ;.

Travis: remove root-owned cache files.

Fix Travis build environment

Newest Meson requires Python 3.5 which isn't available in Trusty.
Pip version pin no longer necessary.

Fixed up duplicate ChangeLog entry.

Released 3.2.2

Add example configuration file (#216)

Add a configuration file with all options disabled that includes
all valid options and their description.

Fix build error on DragonFlyBSD (sync with other *BSD) (#240)

DragonFlyBSD has no "bsd" in uname, so add 'dragonfly' to conditionals.

-- e.g. uname(1) in DragonFlyBSD
[root@ ~]# uname
DragonFly
[root@ ~]# python -c "import sys; print(sys.platform)"
dragonfly5

Fix uninitialised read in fuse_new_30() (#231) (#234)

Ensure that conf is always zero before it's read from to prevent
sporadic failure at startup if higher layers were build against
version 3.0

Signed-off-by: Ashley Pittman <ashley.m.pittman@intel.com>

Fix typo in "passthrough" docstring (#229)

Handle mount ... -o nofail (#221)

Accept (and ignore) nofail mount option

fix "Rath Consulting" link (#225)

Spelling (#223)

Fix spelling errors

Released 3.2.1

Updated professional support information.

Backed out d92bf83

This change is bogus. fuse_module_factory_t is already a pointer
type. Additionally, if dlsym returns NULL, then you will be
dereferencing it causing a segfault. In my testing, a segfault will
happen even if dlsym returns successfully.

Thanks to Michael Theall for spotting!

Don't install manpages under *BSD

Were not installing the corresponding binaries either, since those
are provided by the BSD base system.

Don't use Python mode for meson.build

Emacs now has a proper meson mode :-).

make udevrulesdir configurable

on nixos we install fuse in its own hierarchy independent from systemd.

Adding pointer dereferencing after calling dlsym()
dlsym() resolves the location of the loaded symbol,
therefore dlsym() returns the type (fuse_module_factory_t *), not (fuse_module_factory_t).
Added pinter dereferencing to correctly refer the factory function.

fuse_lib_ioctl(): don't call memcpy with NULL argument

This was detected by using clang's undefined behavior sanitizer, but
didn't seem to cause problems in practice.

Link with -lrt to support ancient libc

Fixes: #207.

Removed unneccessary #include <config.h> from examples

Fixes: #208.

Automatically print list of contributors when generating tarball

Travis CI: Don't use deprecated environment

Travis support recommends to install specific pip
version to work around problems in new environment.

Correctly define fusermount3 path.

Make *_loop_mt() available in version 3.0 again

The old versions of these symbols were defined with version
tag FUSE_3.0, so this is what we have to use in the .symver
directive.

Fix versioned symbols in version script

According to "How to Write Shared Libraries" by Ulrich Drepper
(https://www.akkadia.org/drepper/dsohowto.pdf), the version script
should contain the exported name of the versioned symbol once in each
tag for which it has been defined by .symver.

Don't use external symbol names in internal files

The fuse_session_loop_mt() and fuse_loop_mt() symbols are only visible
when linking against the shared object. The code in lib/, however, is
compiled *into* the shared object and should thus use the internal
names of these functions.

Surprisingly enough, the code still worked before - but only when link
time optimization was disabled.

Unfortunately, we still can't compile with LTO because it seems that
enabling LTO somehow makes the tagged symbols vanish.

Without lto, we have:

$ nm lib/libfuse3.so | grep fuse_new
0000000000011070 T fuse_new_30
0000000000010a00 t fuse_new_31
0000000000011070 T fuse_new@FUSE_3.0
0000000000010a00 T fuse_new@@FUSE_3.1

and with LTO:

$ nm lib/libfuse3.so | grep fuse_new
0000000000019a70 T fuse_new_30
0000000000019270 t fuse_new_31

See also issue #198.

Include source code in documentation.

make_release_tarball.sh: be less verbose

Added some documentation of fuse internals.

Released 3.2.0

Add script to create release tarball.

Use "mkdir" instead of "md" in instructions.

Fixes: #205.

fuse_kern_unmount(): close fd before calling umount

This is what the Linux version does, and it fixes a
timeout under FreeBSD when the kernel sends a FUSE_DESTROY
request that is never answered.

example/ioctl: build on FreeBSD, but add protocol check instead.

do_init(): print missing capabilities if there are any.

Fix writeback capability check.

examples/{ioctl,null}: don't build under FreeBSD instead of skipping tests.

printcap: use temporary directory, not file

Mounting a file doesn't seem to work under FreeBSD.

Skip testing null and ioctl examples under FreeBSD.

This seems to be unsupported. However, me may also be
doing it wrong. I've asked on the freebsd-fs list for help.

Removed unused import.

passthrough_ll: only active EXPORT_SUPPORT of supported by kernel.

Don't use -o auto_unmount under FreeBSD.

Dropped support for building with autotools

It's just too much pain to keep it working.

Use printcap() to control test execution

That way, we run only tests that are supported by the running kernel.

Added testcase for examples/printcap

Add idle_threads mount option.

Renamed notify_inval_inode_fh to invalidate_path

The previous name didn't make much sense.

Allow inode cache invalidation in high-level API

We re-introduce the functionality of invalidating the caches for an
inode specified by path by adding a new routine
fuse_invalidate_path. This is useful for network-based file systems
which use the high-level API, enabling them to notify the kernel about
external changes.

This is a revival of Miklos Szeredi's original code for the
fuse_invalidate routine.

Added examples/printcap

fuse_loop_mt(): on error, return errno rather than -1.

fuse_loop(): don't return non-zero if there was no error

Document and unify error codes of fuse_lowlevel_notify_*

Make passthrough_fh work under FreeBSD.

Fix two compiler warnings.

Document meaning of zero telldir() offset.

Allow building without iconv.

cfg.has('HAVE_ICONV') was always true.

Use 'buildtype' to set debug/optimization options

Until now, running `mesonconf -D buildtype=debug` didn't have any
effect - which was confusing.