Released 2.9.9

Added OpenAFS to type whitelist

Fixes: #336.

Fix readdir() bug when a non-zero offset is specified in filler

The bug occurs when a filesystem client reads a directory until the end,
seeks using seekdir() to some valid non-zero position and calls
readdir(). A valid 'struct dirent *' is expected, but NULL is returned
instead. Pseudocode demonstrating the bug:

DIR *dp = opendir("some_dir");
struct dirent *de = readdir(dp);

/* Get offset of the second entry */
long offset = telldir(dp);

/* Read directory until the end */
while (de)
de = readdir(de);

seekdir(dp, offset);
de = readdir(dp);
/* de must contain the second entry, but NULL is returned instead */

The reason of the bug is that when the end of directory is reached, the
kernel calls FUSE_READDIR op with an offset at the end of directory, so
the filesystem's .readdir callback never calls the filler function, and
we end up with dh->filled set to 1. After seekdir(), FUSE_READDIR is
called again with a new offset, but this time the filesystem's .readdir
callback is never called, and an empty reply is returned.

Fix by setting dh->filled to 1 only when zero offsets are given to
filler function.

This commit is backported from the following commit in 'master' branch:

commit 5f125c5e6be24c8d216a4d3c623dc73d742c8c86
Author: Rostislav <rostislav@users.noreply.github.com>
Date:   Sat Jul 21 12:57:09 2018 +0300

    Fix readdir() bug when a non-zero offset is specified in filler (#269)

Released 2.9.8

Add changelog entry for commit b045e.

Added ChangeLog entry for hardening patches.

fusermount: whitelist known-good filesystems for mountpoints

Before:

$ _FUSE_COMMFD=1 priv_strace -s8000 -e trace=mount util/fusermount3 /proc/self/fd
mount("/dev/fuse", ".", "fuse", MS_NOSUID|MS_NODEV, "fd=3,rootmode=40000,user_id=379777,group_id=5001") = 0
sending file descriptor: Socket operation on non-socket
+++ exited with 1 +++

After:

$ _FUSE_COMMFD=1 priv_strace -s8000 -e trace=mount util/fusermount3 /proc/self/fd
util/fusermount3: mounting over filesystem type 0x009fa0 is forbidden
+++ exited with 1 +++

This patch could potentially have security
impact on some systems that are configured with allow_other;
see https://launchpad.net/bugs/1530566 for an example of how a similar
issue in the ecryptfs mount helper was exploitable. However, the FUSE
mount helper performs slightly different security checks, so that exact
attack doesn't work with fusermount; I don't know of any specific attack
you could perform using this, apart from faking the SELinux context of your
process when someone's looking at a process listing. Potential targets for
overwrite are (looking on a system with a 4.9 kernel):

writable only for the current process:
/proc/self/{fd,map_files}
(Yes, "ls -l" claims that you don't have write access, but that's not true;
"find -writable" will show you what access you really have.)

writable also for other owned processes:
/proc/$pid/{sched,autogroup,comm,mem,clear_refs,attr/*,oom_adj,
oom_score_adj,loginuid,coredump_filter,uid_map,gid_map,projid_map,
setgroups,timerslack_ns}

fusermount: refuse unknown options

Blacklists are notoriously fragile; especially if the kernel wishes to add
some security-critical mount option at a later date, all existing systems
with older versions of fusermount installed will suddenly have a security
problem.
Additionally, if the kernel's option parsing became a tiny bit laxer, the
blacklist could probably be bypassed.

Whitelist known-harmless flags instead, even if it's slightly more
inconvenient.

fusermount: bail out on transient config read failure

If an attacker wishes to use the default configuration instead of the
system's actual configuration, they can attempt to trigger a failure in
read_conf(). This only permits increasing mount_max if it is lower than the
default, so it's not particularly interesting. Still, this should probably
be prevented robustly; bail out if funny stuff happens when we're trying to
read the config.

Note that the classic attack trick of opening so many files that the
system-wide limit is reached won't work here - because fusermount only
drops the fsuid, not the euid, the process is running with euid=0 and
CAP_SYS_ADMIN, so it bypasses the number-of-globally-open-files check in
get_empty_filp() (unless you're inside a user namespace).

fusermount: don't feed "escaped commas" into mount options

The old code permits the following behavior:

$ _FUSE_COMMFD=10000 priv_strace -etrace=mount -s200 fusermount -o 'foobar=\,allow_other' mount
mount("/dev/fuse", ".", "fuse", MS_NOSUID|MS_NODEV, "foobar=\\,allow_other,fd=3,rootmode=40000,user_id=1000,group_id=1000") = -1 EINVAL (Invalid argument)

However, backslashes do not have any special meaning for the kernel here.

As it happens, you can't abuse this because there is no FUSE mount option
that takes a string value that can contain backslashes; but this is very
brittle. Don't interpret "escape characters" in places where they don't
work.

Fix SIGSEGV when fuse_interrupted() is called outside the eventloop

rename: perform user mode dir loop check when not done in kernel
    Linux performs the dir loop check (rename(a, a/b/c)
    or rename(a/b/c, a), etc.) in kernel. Unfortunately
    other systems do not perform this check (e.g. FreeBSD).
    This results in a deadlock in get_path2, because libfuse
    did not expect to handle such cases.

    We add a check_dir_loop function that performs the dir
    loop check in user mode and enable it on systems that
    need it.

fix documentation for opendir in fuse_operations

the filehandle from opendir is passed to releasedir - there is no
closedir function in fuse_operations

Document that client pid/gid/uid may be zero.

Fixes #67.

Released 2.9.7.

libfuse/fuse_daemonize:  wait until daemon child process is ready (#55)

Mounting a FUSE file system remotely using SSH in combination with
pseudo-terminal allocation (-t), results in "Transport endpoint is
not connected" errors when trying to access the file system contents.

For example:

  # ssh -t root@localhost  "cmsfs-fuse /dev/disk/by-path/ccw-0.0.0190 /CMSFS"
  Connection to localhost closed.
  # ls /CMSFS
  ls: cannot access '/CMSFS': Transport endpoint is not connected

The cmsfs-fuse main program (which can also be any other FUSE file
system) calls into the fuse_main() libfuse library function.
The fuse_main() function later calls fuse_daemonize() to fork the
daemon process to handle the FUSE file system I/O.

The fuse_daemonize() function calls fork() as usual.  The child
proceeds with setsid() and then redirecting its file descriptors
to /dev/null etc.  The parent process, simply exits.

The child's functions and the parent's exit creates a subtle race.
This is seen with an SSH connection.  The SSH command above calls
cmsfs-fuse on an allocated pseudo-terminal device (-t option).

If the parent exits, SSH receives the command completion and closes
the connection, that means, it closes the master side of the
pseudo-terminal.  This causes a HUP signal being sent to the process
group on the pseudo-terminal.  At this point in time, the child might
not have completed the setsid() call and, hence, becomes terminated.
Note that fuse daemon sets up its signal handlers after fuse_daemonize()
has completed.

Even if the child has the chance to disassociate from its parent process
group to become it's own process group with setsid(), the child still
has the pseudo-terminal opened as stdin, stdout, and stderr.  So the
pseudo-terminal still behave as controlling terminal and might cause a
SIGHUP at closing the the master side.

To solve the problem, the parent has to wait until the child (the fuse
daemon process) has completed its processing, that means, has become
its own process group with setsid() and closed any file descriptors
pointing to the pseudo-terminal.

Closes: #27
Reported-by: Ofer Baruch <oferba@il.ibm.com>
Reviewed-by: Gerald Schaefer <gerald.schaefer@de.ibm.com>
Signed-off-by: Hendrik Brueckner <brueckner@linux.vnet.ibm.com>

libfuse: pass security context options to kernel

Mount can be used with an "-o context=" option in order to specify a
mountpoint-wide SELinux security context different from the default context
provided by the active SELinux policy.

This is useful in order to enable users to mount multiple sshfs targets under
distinct contexts, which is my main motivation for getting this patch mainlined.

Closes: #36

Fix ambigious condition

Fixes #42.

Released 2.9.6

Fix description of bug #15.

Document bug #15.

Include documentation in tarball.

Remove "credits" section, we now have an AUTHORS file.

Released 2.9.5

Mention new maintainer in Changelog.

Changed Changelog format

Up to now, the Changelog has essentially been a (manually maintained)
copy of the git commit history. This doesn't seem to have any point
other than following the GNU coding standards. I believe it's much
better to use the Changelog to summarize the release-to-release
changes that are most important for users, so this is what we'll do
from now on.

Removed placeholder README file and switch automake to foreign flavor.

The GNU flavor merely requires to existence of some files (including
README, but we prefer README.md), so there seems to be little point
in using it.

Removed hopelessly outdated files.

Enable subdir-objects automake option

This is recommended for forward-compatibility.

Update makeconf.sh

Describe why manual copying of config.rpath is necessary, and fail
with a more helpful message if it can't be found.

Remove code for systems without autoreconf - it's apparently not used
by anyone since it has been broken for quite some time (there is no
`kernel` directory anymore).

Update maintainer and contributor list

Extend write_buf documentation

Initialize padding to zero.

This should prevent some valgrind warnings.

Migrated README to README.md for Markdown rendering on GitHub.

libfuse: fix warning mount.c:receive_fd()

Reported by Albert Berger

libfuse: fix possible memory leak

Reported by Jose R. Guzman

Released 2.9.4

libfuse: fix exec environment for mount and umount

Found by Tavis Ormandy (CVE-2015-3202).

libfuse: fix fuse_remove_signal_handlers()

to properly restore the default signal handler.

Reported by: Chris Johnson <johnsocg@gmail.com>

libfuse: document deadlock avoidance for fuse_notify_inval_entry()

and fuse_notify_delete()

Reported by Han-Wen Nienhuys

Initilaize stat buffer passed to ->getattr() and ->fgetattr()
to zero in all cases.

Reported by Daniel Iwan.

Advertize the existence of some "configure" env vars.

Advertize the existence of env vars MOUNT_FUSE_PATH, UDEV_RULES_PATH
and INIT_D_PATH in the execution of ./configure.

libfuse: highlevel API: fix directory file handle passed to ioctl() method

Reported by Eric Biggers

fusermount, libfuse: send value as unsigned in "user_id=" and "group_id="

...options.  Uids/gids larger than 2147483647 would result in EINVAL when
mounting the filesystem.  This also needs a fix in the kernel.

Add missing includes

This allows compiling fuse with musl.

Released 2.9.3

libfuse: don't close fd if it's -1

This prevents a valgrind warning.

libfuse: fix multiple close of device fd

- fuse_kern_unmount closes handle (e.g. 19)
- a thread in my process opens a file - the OS assigns newly freed
handle (i.e. 19)
- fuse_kern_chan_destroy closes the same handle (i.e. 19)
- a thread in my process opens another file - the OS assigns newly
freed handle (i.e. 19)
- * MAYHEM *

Reported by Dan Greenfield

libfuse: fix thread cancel race

Exiting a worker my race with cancelling that same worker.  This caused a
segmenation fault.

Reported and tested by Anatol Pomozov

Add "nopath" to help.

libfuse: rename ./configure.in to ./configure.ac

Next version of automake (1.14) removes support for the deprecated filename

http://lists.gnu.org/archive/html/autotools-announce/2013-01/msg00000.html

libfuse: Use AC_CONFIG_HEADERS instead of AM_CONFIG_HEADER

AM_CONFIG_HEADER has been deprecated for years and autotools 1.13
removes this macros at all.

libfuse: configure: detect new util-linux

Apparently new versions of util-linux umount return with an exit status of 1
even if the "--fake" option is recognised (despite being documented otherwise).
Check this condition and don't complain about util-linux version.

libfuse: fix the 'remember' option

The lru list was not initialized for the "/" path.  This resulted in
remove_node_lru() crashing on LOOKUP-DOTDOT.

Patch by Madan Valluri.
--
 ChangeLog  |    4 ++++
 lib/fuse.c |    4 ++++
 2 files changed, 8 insertions(+)

libfuse: fix crash in unlock_path()

Patch by Ratna Manoj.

queue_element_unlock() should set ->first_locked and ->second_locked to false.

Discovered with 'fs_racer'.  The assert(wnode->treelock == TREELOCK_WRITE) in
unlock_path() was hit within minutes.

Miklos: simplified patch

Released 2.9.2

Fix deadlock in libfuse

Running "svn update" on a fuse filesystem could deadlock because of a bug in the
way the paths are locked.

Reported by Kazuaki Anami

Fix missing config.h in buffer.c

Due to an oversight, splice will never actually be used for i/o.  Someone forgot
to #include "config.h" in lib/buffer.c (in fact almost no files include that
header).  As a result, even though configure detects splice support and puts
HAVE_SPLICE in config.h, buffer.c is always compiled as if there is no splice
support.

Also add #include "config.h" to fuse.c and fuse_lowlevel.c.  These currently
include it indirectly through fuse_misc.h, but we don't want to depend on that.

Reported by Matthew Gabeler-Lee

Zero out node when allocating from a slab.

Fix compile warning when not using node slab.

Fix "fuse internal error: node NNN not found"

Commit 4dc7e675bb (Don't unhash name in FORGET) broke the forget logic in a
subtle way, resulting in "fuse internal error: node NNN not found" and causing
the filesystem daemon to abort.

Fix by incrementing the node refcount if nlookup goes from zero to one.

Reported by Kyle Lippincott

Fix linking against GNU libiconv

Use quotation marks when assigning shell variable.

This broke by 384496dd02cfd9a74b95d62ce0d23a31a7af3730, most likely by mistake.

Released 2.9.1

Fix crash caused by freeing a stack address

The failure path of try_get_path2() erronously tried to free the "path1" value
(an address on the stack) instead of the allocated string pointed to by "path1".
This caused the library to crash.

Reported by Itay Perl

Add fallocate to NEWS

libfuse: mark some data constant

Fix build with automake >= 1.12.1

mkdir_p is deprecated since automake 1.12.1 (see automake commit
7a1eb9ff9027929687f12905e131f6fda3fa6d0c).

MKDIR_P should be used instead of mkdir_p.
This is available since autoconf 2.59d (2006-06-05), by calling
AC_PROG_MKDIR_P.

The mkdir_p workaround was not working anyway for out-of-tree builds,
since the ../mkinstalldirs path would be incorrect.

Fix install from out-of-tree build

When building out-of-tree, install fails since it tries to copy
mount.fuse binary from source directory.

Patch initially from Damien Thébault (SoftAtHome)

Add FALLOCATE operation

fallocate filesystem operation preallocates media space for the given file.
If fallocate returns success then any subsequent write to the given range
never fails with 'not enough space' error.

Fix the compile command in the examples

Reported by Luciano Dalle Ore

Fix -pthread in fuse.pc

Linking to a library that uses threads requires the application to be linked
with -pthreads otherwise some pthread functions will be linked to stubs in
glibc.  So move -pthread from Libs.private to Libs in fuse.pc.

Reported by Werner Fink

Released 2.9.0

Add missing fuse_fs_flock to fuse_versionscript

use flexible array in include/fuse_kernel.h

Use the ISO C standard compliant form instead of the gcc extension in the
interface definition.

Update NEWS

Add 'flag_utime_omit_ok' flag to fuse_operations

If the filesystem sets this flag then ->utimens() will receive UTIME_OMIT and
UTIME_NOW values as specified in utimensat(2).

Check protocol version before sending notifications

Check protocol version before sending notifications and return -ENOSYS if a
particular notification is not supported.

test improvements

Interpret octal escape codes in options

Requested by Jan Engelhardt

clean up man page

Add doc/Makefile.am

Add man pages for fusermount, mount.fuse and ulockmgr_server

Lifted from the Debian package.  The man pages were written by Daniel Baumann
and Bastien Roucaries

Revert "Add mmap() and munmap() methods to low level API"

This partially reverts commit 4b2157c44e6ad7e692fcffb7450143e83151d36b.

Remove mmap/munmap suppor as this missed the interface changes for Linux-3.3
(API version 7.18).

Only revert the mmap/munmap bits and leave the retrieve_reply API fix in place
as well as the optimization in fuse_send_data_iov_fallback().

Disable symbol versions on MacOSX

MacOSX uses MachO binary format that does not support symbols.

This change comes from fuse4x project (fuse implementation for macosx).

Remove unnecessary mutex unlock at the end of multithreaded event loop

Free request in fuse_reply_data()

Fix memory leak caused by a missing fuse_request_free() in fuse_reply_data().

Don't unhash name in FORGET

This resulted in ENOENT being returned for unlinked but still open files if the
kernel sent a FORGET request for the parent directory.

Discovered with fs_racer in LTP.

Fix hang in wait_on_path()

Ville Silventoinen reported that fs_racer in LTP triggered a hang in
wait_on_path().  This bug was caused by try_get_path() not resetting "ticket" on
permanent failure.

utimens availability check

fusexmp uses utimens and takes that function for granted. It is part of
POSIX exended API set 2 and some systems do not have it yet. Attached
patch checks for utimens availability and returns ENOSYS if unavailable.

FUSE_NODE_SLAB buildfix

When FUSE_NODE_SLAB is not defined, the build fails because of undefined
functions. Attached patch fixes the problem.

fuse: documentation update for forget

Update documentation for forget and related methods

libfuse: Notifying the kernel of deletion.

libfuse part to allow a FUSE file-system to tell the kernel when a
file or directory is deleted. If the specified dentry has the
specified inode number, the kernel will unhash it.

Signed-off-by: John Muir <john@jmuir.com>
Signed-off-by: Miklos Szeredi <mszeredi@suse.cz>

Add mmap() and munmap() methods to low level API

Currently this is only useful for CUSE.  Also update retrieve_reply()
method.

Add support for ioctl on directories

Reported by Antonio SJ Musumeci

Make lock argument of fuse_reply_lock const

Low level API: lock argument of fuse_reply_lock should have a
'const' qualifier.

Reported by Shachar Sharon

Fix the following compile error

fusermount.c: In function 'clone_newns':
fusermount.c:315:2: warning: implicit declaration of function 'clone' [-Wimplicit-function-declaration]
fusermount.c:315:44: error: 'CLONE_NEWNS' undeclared (first use in this function)
fusermount.c:315:44: note: each undeclared identifier is reported only once for each function it appears in
fusermount.c:317:1: warning: control reaches end of non-void function [-Wreturn-type]

Reply with ENOMEM in case of failure to allocate request

Reply to request with ENOMEM in case of failure to allocate request
structure.  Otherwise the task issuing the request will just freeze up
until the filesystem daemon is killed.  Reported by Stephan Kulow

Replace daemon() function with fork()

daemon() is a BSD-ism. Although it is available on many platforms
it is not a standard function. Some platforms (e.g. MacOSX) deprecated
it.

It is safer just to use fork() function that is a part of POSIX.

Don't ignore --disable-mtab

If configured with --disable-mtab then don't call mount(8) from
libfuse to update the mtab.

Reported by: James Sierp

add lru for remember option

Use LRU list for cleaning up the cache if the "remember=T" option was
given.

Add ->flock() operation to low and high level interfaces

This fixes problems with emulating flock() with POSIX locking.
Reported by Sebastian Pipping.

As with lock/setlk/getlk most filesystems don't need to implement
this, as the kernel takes care of file locking.  The only reason to
implement locking operations is for network filesystems which want
file locking to work between clients.