build: ship seccomp-syscalls.h

Without this, anything which includes "seccomp.h" will fail when using a build version of libseccomp.

Signed-off-by: Stéphane Graber <stgraber@ubuntu.com>
Acked-by: Tom Hromatka <tom.hromatka@oracle.com>
[PM: tweaked the subject line]
Signed-off-by: Paul Moore <paul@paul-moore.com>

api: stop defining __NR_x values for syscalls that don't exist

Historically libseccomp has created a __NR_x definition for every
syscall it supports, even those that aren't valid for a given ABI.
While this seemed like a good idea at the time, it turned out to have
some unwanted and nasty side effects.  This patch finally corrects
this problem.

The basic approach is quite simple: move the SCMP_SYS() macro to use
__SNR_x values instead of __NR_x values.  The unfortunate side effect
of this change is that instead of just worrying about #defines for the
__PNR_x values we now have to have a __SNR_x define for *every*
syscall.  The good news is that after this patch that should only be
a few new syscalls every year - a very manageable task.

Reviewed-by: Tom Hromatka <tom.hromatka@oracle.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

python: fix error in pydoc

Fix the pydoc example so it's runnable.

Signed-off-by: Jonah Petri <jonah@petri.us>
Acked-by: Tom Hromatka <tom.hromatka@oracle.com>
[PM: fix subject line (add prefix)]
Signed-off-by: Paul Moore <paul@paul-moore.com>

doc: ship the SECURITY.md file

Signed-off-by: Paul Moore <paul@paul-moore.com>

python: install the python extension to the root package dir

Commit 8ad3638ea9023c3948976dfadebd1554380a31c9 effectively added libseccomp/
to the install path of the python extension.
This changed the import module name from "seccomp" to "libseccomp.seccomp",
breaking existing users.

Revert the install path like it was before 2.4.0

Signed-off-by: Felix Geyer <debfx@fobos.de>
[PM: tweaked the subject line]
Signed-off-by: Paul Moore <paul@paul-moore.com>

doc: new process docs and various updates

A number of updates mainly focused on paving the way for multiple
maintainers and making better use of the GitHub vulnerability
reporting tools.

Signed-off-by: Paul Moore <paul@paul-moore.com>
Acked-by: Tom Hromatka <tom.hromatka@oracle.com>

arch: add support for io-uring related system calls in kernel 5.1

Signed-off-by: Stephen Coleman <omegacoleman@gmail.com>
Reviewed-by: Tom Hromatka <tom.hromatka@oracle.com>
[PM: added the "arch:" subj prefix]
Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add notification tests

Some of this was taken from Tycho's original patch.

Signed-off-by: Tycho Andersen <tycho@tycho.ws>
Signed-off-by: Paul Moore <paul@paul-moore.com>

python: update the python bindings to support notifications

Here is the desciption from the main commit:

  "Kernel 5.0 includes the new user notification return code. Here's
   all the infrastructure to handle that.

   The idea behind the user notification return code is that the
   filter stops the syscall, and forwards it to a "listener fd" that
   is created when installing a filter. Then then some userspace task
   can listen and process events accordingly by taking some (or no)
   action in userspace, and then returning a value from the command."

Signed-off-by: Paul Moore <paul@paul-moore.com>

api: make TSYNC and NOTIFY mutually exclusive

The kernel explicitly disallows setting both TSYNC and NEW_LISTENER
at the same time, so catch this and block it in libseccomp.

Signed-off-by: Paul Moore <paul@paul-moore.com>

api: implement user notification in libseccomp

This patch is heavily based on an earlier patchset by Tycho
Andersen.  I took Tycho's patch and incorporated the requested changes
from the review, fixed some corner case bugs, and simplified the API
a bit.

Kernel 5.0 includes the new user notification return code. Here's all the
infrastructure to handle that.

The idea behind the user notification return code is that the filter stops
the syscall, and forwards it to a "listener fd" that is created when
installing a filter. Then then some userspace task can listen and process
events accordingly by taking some (or no) action in userspace, and then
returning a value from the command.

Signed-off-by: Tycho Andersen <tycho@tycho.ws>
Signed-off-by: Paul Moore <paul@paul-moore.com>

python: use Cython language "3str"

Set the Cython language level to "3str" which is described in the
Cython 0.29 changelog:

 "A new language level name 3str was added that mostly corresponds to
  language level 3, but keeps unprefixed string literals as type ‘str’
  in both Py2 and Py3, and the builtin ‘str’ type unchanged. This will
  become the default in the next Cython release and is meant to help
  user code a) transition more easily to this new default and
  b) migrate to Python 3 source code semantics without making support
  for Python 2.x difficult."

Signed-off-by: Paul Moore <paul@paul-moore.com>

db: properly reset the attribute state in db_col_reset()

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: fix a error message typo in 13-basic-attrs.py

Signed-off-by: Paul Moore <paul@paul-moore.com>

api: rename SCMP_FLTATR_SPEC_ALLOW to SCMP_FLTATR_CTL_SSB

Signed-off-by: Paul Moore <paul@paul-moore.com>

api: add support for the SPEC_ALLOW flag

Signed-off-by: Tycho Andersen <tycho@tycho.ws>
Signed-off-by: Paul Moore <paul@paul-moore.com>

system.h: add defines for USER_NOTIF bits

The USER_NOTIF patch added several new structures, a new return code, a new
seccomp command and a new flag. Let's define all of those.

Signed-off-by: Tycho Andersen <tycho@tycho.ws>
[PM: some minor style tweaks via ./tools/check-syntax]
Signed-off-by: Paul Moore <paul@paul-moore.com>

docs: create a doc/admin directory and move RELEASE_PROCESS.md into it

The idea is that any administrative/process docs should go in doc/admin.

Signed-off-by: Paul Moore <paul@paul-moore.com>

docs: minor changes to the RELEASE_PROCESS.md

Fix some examples and add a note about deprecating older, unsupported
releases.

Signed-off-by: Paul Moore <paul@paul-moore.com>

all: update the CHANGELOG and version for v2.4.1

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: only run test 50 on x86_64

Because of the way libseccomp handles non-native arch translations we
can't use arbitrary syscalls, e.g. 1000; we need to use syscalls that
are defined in the libseccomp syscall tables.  Unfortunately, changing
the syscalls from 1000/1001 to a defined syscall appears to break the
test so let's just limit it to x86_64 for now.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: Add 50-sim-hash_collision test

libseccomp utilizes a hash table to manage BPF blocks.  It
currently employs MurmurHash3 where the key is the hashed values
of the BPF instruction blocks, the accumulator start, and the
accumulator end.  This test was added because of a mishandled
hash collision reported by Tor in GitHub issue #148.
* https://github.com/seccomp/libseccomp/issues/148

Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

bpf: add accumulator state to the instruction block hash

This addresses a problem where dissimilar instruction blocks were
improperly hashed to the same value because we were not taking into
account the accumulator state.

See the GitHub issue below for more information:
 * https://github.com/seccomp/libseccomp/issues/148

Reported-by: Toralf Förster <toralf.foerster@gmx.de>
Signed-off-by: Paul Moore <paul@paul-moore.com>
Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>

all: update the CHANGELOG and version for v2.4.0

Signed-off-by: Paul Moore <paul@paul-moore.com>
(imported from commit 4d64011741375bb1a4ba7d71905ca37b97885083)

tests: add LT tests to 43-sim-a2_order

We want to be able to test proper ordering for both LT and GT
comparisons.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add 48-sim-64b_comparisons

Based on some initial tests from Jann Horn.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: update 38-basic-pfc_coverage

Based on the recent 64-bit argument comparison fixes, we need to
update test 38-basic-pfc_coverage.

A special thanks to Jann Horn for bringing this problem to our
attention.

Signed-off-by: Paul Moore <paul@paul-moore.com>

bpf: pass the correct accumulator state to the next level

We were mistakenly passing the wrong accumulator state (the state at
the start of the instruction block, not at the end) which was causing
us to generate unnecessary load instructions.

Signed-off-by: Paul Moore <paul@paul-moore.com>

db: fix 64-bit argument comparisons

Our approach to doing 64-bit comparisons using 32-bit operators was
just plain wrong, leading to a number of potential problems with
filters that used the LT, GT, LE, or GE operators.  This patch fixes
this problem and a few other related issues that came to light in
the course of fixing the core problem.

A special thanks to Jann Horn for bringing this problem to our
attention.

Signed-off-by: Paul Moore <paul@paul-moore.com>

doc: update the CREDITS file

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: fix some issues found by coverity

None of these are major, and they are all part of the tests, but we
should fix them regardless.

Signed-off-by: Paul Moore <paul@paul-moore.com>

system: fixup some cosmetic macro alignment issues

Signed-off-by: Paul Moore <paul@paul-moore.com>

system: add LOG action to seccomp.h

This return code was added in 4.14, so let's reflect that here.

Signed-off-by: Tycho Andersen <tycho@tycho.ws>
[PM: cleanup up some duplication with the existing SECCOMP_RET_LOG code]
Signed-off-by: Paul Moore <paul@paul-moore.com>

system: update defines to match upstream

The kernel switched their defines to be more expressive like this, so let's
do the same. That will make it easy in future patches to copy and paste
definitions from the kernel :)

Signed-off-by: Tycho Andersen <tycho@tycho.ws>
Signed-off-by: Paul Moore <paul@paul-moore.com>

db: bail on a prune operation if both trees have a prefix

If both trees have prefixes that don't match, bail on the prune
operation.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: make use of the new 32-bit test filters

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add support for 32-bit and 64-bit test filtering

Add "[+]all_32" and "[+]all_64" which work the same as the
little and big endian test filters.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: disable a number of tests on the x32 arch

Unfortunately a number of our automated tests fail because of the
x32 syscall bit, making low numbered syscalls invalid.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add 48-sim-32b_args to the .gitignore file

We forgot to do this earlier, fix it.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: fix a number of problems with the tests on a 32-bit x86 system

Verified on a 32-bit x86 Ubuntu 16.04.6 system.

Signed-off-by: Paul Moore <paul@paul-moore.com>

style: fix a 80-char line width issue

I had made this fix earlier when applying a patch, but forgot to
update the patch.

Signed-off-by: Paul Moore <paul@paul-moore.com>

api: provide 32-bit friendly argument comparison macros

We have a longstanding issue with 32-bit to 64-bit sign extension
inadvertently resulting in bogus syscall argument extensions. This
patch introduces a new set of argument comparison macros which
limit the argument values to 32-bit values so that we don't run into
problems with sign extension.

We use the macro overloading proposed by Roman at
https://kecher.net/overloading-macros/ to retain the feature of these
macros being usable as static initializers.

Thanks to @jdstrand on GitHub for reporting the problem.

Signed-off-by: Paul Moore <paul@paul-moore.com>
Signed-off-by: Michael Weiser <michael.weiser@gmx.de>

arch: update the syscalls for Linux v5.0-rc5

Key changes include:
* Added __NR_statx, __NR_io_pgetevents, and __NR_rseq syscalls
  to seccomp.h.in
* mips architecture now generates some of its syscall header
  files.  Added logic to arch-syscall-validate to create these
  headers
* ppc architecture now uses a syscall.tbl
* s390 now uses a syscall.tbl

This addresses GitHub issue #136

Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

db: Return -EDOM on endian mismatch during arch add

This commit clarifies the error code when seccomp_arch_add() or
seccomp_merge() fails due to an endian mismatch.  Previously,
libseccomp would return -EEXIST if the new architecture's
endianness did not match.

This addresses GitHub Issue #86 - BUG: seccomp_arch_add() returns
-EEXISTS on endian mismatch

Reported-by: Michael Vogt <michael.vogt@gmail.com>
Suggested-by: Paul Moore <paul@paul-moore.com>
Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

tools: update the .gitignore

I forgot to add scmp_api_level to the .gitignore file.

Signed-off-by: Paul Moore <paul@paul-moore.com>

db: fix a leak found by clang

Fix a leak found by clang where we were not cleaning up properly in
the error path.

    CC       libseccomp_la-db.lo
  db.c:2020:2: warning: Potential leak of memory pointed to by 'rule_s'
          _db_snap_release(snap);
          ^~~~~~~~~~~~~~~~

Signed-off-by: Paul Moore <paul@paul-moore.com>

travis: update to ubuntu 16.04 (xenial)

We are currently testing under Ubuntu 14.XX with Travis CI, it's time
to update to a more recent version of Ubuntu.

Signed-off-by: Paul Moore <paul@paul-moore.com>

api: renumber the pseudo syscall for subpage_prot()

Unfortunately the pseduo syscall number for subpage_prot() was
already in use by spu_run() so renumber it to a free pseduo syscall
number.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add an API level check to the live tests

Signed-off-by: Paul Moore <paul@paul-moore.com>

tools: add a new tool to detect the current API level

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add openat() to the syscall whitelist in test 44

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: Add tests for SECCOMP_RET_KILL_PROCESS

This addresses GitHub Issue #96 - RFE: add support for
SECCOMP_RET_KILL_PROCESS

Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

api: Add support for SCMP_ACT_KILL_PROCESS

This patch adds support for killing the entire process via
the SCMP_ACT_KILL_PROCESS action.  To maintain backward
compatibility, SCMP_ACT_KILL defaults to SCMP_ACT_KILL_THREAD.
Support for KILL_PROCESS was added into the Linux kernel in
v4.14.

This addresses GitHub Issue #96 - RFE: add support for
SECCOMP_RET_KILL_PROCESS

Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>
[PM: minor comment tweak in seccomp.h.in]
Signed-off-by: Paul Moore <paul@paul-moore.com>

pfc: fix PFC export hang on prioritized syscall with no rules (GH issue #117)

github user @varqox reported that generating PFC will hang if the
libseccomp filter contains a syscalle with a priority but no rule
set.  The root cause is the while() loop in gen_pfc.c that walks
through the filter's syscalls.  It  wasn't properly advancing
through the list when p_iter was invalid.

Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>
[PM: fix a comment in the test]
Signed-off-by: Paul Moore <paul@paul-moore.com>

python: fix operands in MASKED_EQ documentation

Fixes: https://github.com/seccomp/libseccomp/issues/119
Signed-off-by: Felix Abecassis <fabecassis@nvidia.com>
[PM: used full URL in the fixes line]
Signed-off-by: Paul Moore <paul@paul-moore.com>

build: enable distcheck'ing for the python code

I'm not particularly proud of the seccomp.pyx hack, but it works, and
enabling the python bindings during the distcheck is definitely the
"Greater Good".

Signed-off-by: Paul Moore <paul@paul-moore.com>

docs: add the RELEASE_PROCESS.md file to the list of distributed files

Signed-off-by: Paul Moore <paul@paul-moore.com>

doc: add git tag signing to the release process

Signed-off-by: Paul Moore <paul@paul-moore.com>

docs: mention the GitHub milestones in the release process documentation

Signed-off-by: Paul Moore <paul@paul-moore.com>

db: convert the db_chain_* macros to functions

In addition to converting the db_chain_* macros to functions, we also
move them into db.c and eliminate the unused macros/functions.

This change was originally suggested by Tom Hromatka
<tom.hromatka@oracle.com>.

Signed-off-by: Paul Moore <paul@paul-moore.com>

travis: move from the bundled python to python "nightly" (3.7)

Signed-off-by: Paul Moore <paul@paul-moore.com>

travis: move the code coverage testing to the "after_success" stage

For an as yet unknown reason we keep seeing build failures due to the
code coverage tests despite there not being any noticeable failures.
Move the gcov testing to "after_success" so that failures won't mark
the build as failing.

Signed-off-by: Paul Moore <paul@paul-moore.com>

all: fixup all the file permissions

Signed-off-by: Paul Moore <paul@paul-moore.com>

api: seccomp_api_get() doesn't need to be marked as const

Reported-by: Marek <deadbeef@popcount.org>
Signed-off-by: Paul Moore <paul@paul-moore.com>

doc: update the list of architectures in scmp_sys_resolver.1

Signed-off-by: James Cowgill <jcowgill@jcowgill.uk>
Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add tests for db_chain_lt()

Add a test to improve the test coverage for db_chain_lt().

Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>
[PM: stripped the conversion from a macro to function, kept the test]
Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: added tests for the A2 ordering bug (GH issue #112)

Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>
[PM: subject line tweaks]
Signed-off-by: Paul Moore <paul@paul-moore.com>

db: applied pcmoore's gist for GH issue #112

Note that as cited in the gist, this commit is not ready to be
committed yet.  Specifically:

* investigate _db_tree_prune(), that likely needs some logic (lt/gt)
  flipping to compensate for the changes in _db_tree_add()
* run the full regression test to ensure we aren't accidentally breaking
  anything
* separate patch to add this test case to the regression tests
* separate patch to clear up the macros in src/db.h, see db_chain_lt() as
  an example

Full gist is here:
https://gist.github.com/pcmoore/f644341a85c6ad7131a26f68f99e3fc6

Signed-off-by: Tom Hromatka <tom.hromatka@oracle.com>
[PM: subject line tweak, testing has proven this commit is OK and necessary
     to restore proper db ordering, also fix the 'make check-syntax' errors]
Signed-off-by: Paul Moore <paul@paul-moore.com>

docs: add the supported ABIs to the README

Signed-off-by: Paul Moore <paul@paul-moore.com>

build: add a "help" make target for the top level Makefile

Signed-off-by: Paul Moore <paul@paul-moore.com>

docs: add golang bindings pointer to README.md

Signed-off-by: Paul Moore <paul@paul-moore.com>

doc: convert the travis badge to use shields.io

Signed-off-by: Paul Moore <paul@paul-moore.com>

doc: update the coveralls badge to use shields.io

This is a workaround for the coveralls stale cache problem.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: update the python tests

Commit ce3dda9a1747 ("all: massive src/db.c rework") failed to update the
python tests to match the native/C tests; this patch fixes that oversight.

Signed-off-by: Paul Moore <paul@paul-moore.com>

all: massive src/db.c rework

First, and most importantly, let me state that this is perhaps the worst
possible example of a patch I can think of, and if anyone tries to submit
a PR/patch like this one I will reject it almost immediately.  I'm only
merging this because 1) this patch escalated quickly, 2) splitting it would
require a disproportionate amount of time, and 3) this effort had blocked
other work for too long ... and, well, I'm the maintainer.  Consider this
a bit of "maintainer privilege" if you will.

This patch started simply enough: the goal was to add/augment some tests to
help increase the libseccomp test coverage.  Unfortunately, this particular
test improvement uncovered a rather tricky bug which escalated quite quickly
and soon involved a major rework of how we build the filter tree in src/db.c.
This rework brought about changes throughout the repository, including the
transaction and ABI specific code.

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add some advanced syscall argument chain tests via 40-sim-adv_chains

Signed-off-by: Paul Moore <paul@paul-moore.com>

db: make sure the tree branches end in actions

When we remove a node from the tree we need to make sure it is
replaced with the appropriate action.

Signed-off-by: Paul Moore <paul@paul-moore.com>

bpf: remove some dead code in _bpf_append_blk()

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add a test to check for syscall priority function on non-native ABIs

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: exercise removing multiple ABIs from a filter

Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: test for invalid filter attributes

Signed-off-by: Paul Moore <paul@paul-moore.com>

doc: update the CHANGELOG and CREDITS for v2.3.3

Signed-off-by: Paul Moore <paul@paul-moore.com>
(imported from commit 1186e148c136f6d40483d51bd46eeaa33ca118ee)

tests: fix the live Python tests

Add the sigaltstack(2) syscall to the list of allowed syscalls; tested
against Python v3.6.4.

Signed-off-by: Paul Moore <paul@paul-moore.com>

arch: update the syscalls for Linux v4.15-rc7

Signed-off-by: Paul Moore <paul@paul-moore.com>

arch: add the statx syscall

Fixes #88

Signed-off-by: Tobias Klauser <tklauser@distanz.ch>
[PM: fixed the incorrect x32 definition]
Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add test for SCMP_ACT_LOG of all syscalls

Test SCMP_ACT_LOG as the default action which all syscalls trigger.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: add SCMP_ACT_LOG test to 06-sim-actions

Extend the 06-sim-actions set of tests to include tests for
SCMP_ACT_LOG. The CTL_KCHECKACTS global attribute must be set to prevent
test errors when running under an old kernel that doesn't support
SECCOMP_RET_LOG.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: test suite infrastructure changes for SCMP_ACT_LOG

The basics needed to handle tests that use the new SCMP_ACT_LOG
action.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

all: add support for new log action

Extend libseccomp to support SECCOMP_RET_LOG, which is intended to
log the syscall before allowing it.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

system: runtime check if an action is supported by the kernel

As new actions are added to the kernel, libseccomp needs a way to
verify that an action is not only valid but also supported by the
current kernel at runtime. The only way to do this is by using the
SECCOMP_GET_ACTION_AVAIL operation which was added to seccomp(2) in
kernel version 4.14.

This check is not enabled for existing actions supported by libseccomp
since those actions were present in kernels at the inception of
libseccomp.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

all: add support for new log filter flag

Extend libseccomp to support SECCOMP_FILTER_FLAG_LOG, which is intended
to cause log events for all actions taken by a filter except for
SCMP_ACT_ALLOW actions. This is done via a new filter attribute called
SCMP_FLTATR_CTL_LOG that is off by default.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

system: runtime check if a filter flag is supported by the kernel

As new filter flags are added to the kernel, libseccomp needs a way to
verify that a filter flag is not only valid but also supported by the
current kernel at runtime. A good way of doing that is by attempting to
enter filter mode, with the flag bit(s) in question set, and a NULL
pointer for the args parameter of seccomp(2). EFAULT indicates that the
flag is valid and EINVAL indicates that the flag is invalid. This patch
errs on the side of caution and treats any errno, besides EFAULT, as
indicating that the flag is invalid.

This check should be safe to use for the existing
SECCOMP_FILTER_FLAG_TSYNC flag so this patch enables the check for that
flag.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

python: Expose API level functionality

Allow Python applications to get and set the API level using global
functions.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: Improve seccomp_api_set() test coverage

Test setting all of the valid API levels and then test an invalid API
level to ensure that seccomp_api_set() fails.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

man: fix typo in seccomp_merge.3

Signed-off-by: Tobias Klauser <tklauser@distanz.ch>
Signed-off-by: Paul Moore <paul@paul-moore.com>

api: Handle all possible return values when checking flag support

When calling sys_chk_seccomp_flag(), ensure that a negative return value
is not incorrectly assumed to imply support of the flag.

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

system: Add missing param to sys_chk_seccomp_flag() comment

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

tests: Add new API level test binary to gitignore

Signed-off-by: Tyler Hicks <tyhicks@canonical.com>
Signed-off-by: Paul Moore <paul@paul-moore.com>

api: create an API level construct as part of the supported API

This patch adds the concept of "API levels" which are a way of
indicating what functionality is supported at runtime.  There are two
new API functions added, as explained by the manpage:

 "The seccomp_api_get() function returns an integer representing the
  functionality ("API level") provided by the current running kernel.
  It is important to note that while seccomp_api_get() can be called
  multiple times, the kernel is only probed the first time to see
  what functionality is supported, all following calls to
  seccomp_api_get() return a cached value.

  The seccomp_api_set() function allows callers to force the API
  level to the provided value; however, this is almost always a bad
  idea and use of this function is strongly discouraged."

Signed-off-by: Paul Moore <paul@paul-moore.com>

build: fix Travis CI build/test failures

Signed-off-by: Paul Moore <paul@paul-moore.com>