merged cont.
[opensuse:yast-rest-service.git] / webyast / package / webyastPermissionsService.rb
1 #!/usr/bin/env ruby
2 #--
3 # Webyast Webservice framework
4 #
5 # Copyright (C) 2009, 2010 Novell, Inc. 
6 #   This library is free software; you can redistribute it and/or modify
7 # it only under the terms of version 2.1 of the GNU Lesser General Public
8 # License as published by the Free Software Foundation. 
9 #
10 #   This library is distributed in the hope that it will be useful, but WITHOUT
11 # ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS
12 # FOR A PARTICULAR PURPOSE. See the GNU Lesser General Public License for more 
13 # details. 
14 #
15 #   You should have received a copy of the GNU Lesser General Public
16 # License along with this library; if not, write to the Free Software 
17 # Foundation, Inc., 51 Franklin Street, Fifth Floor, Boston, MA 02110-1301 USA
18 #++
19
20
21 require 'rubygems'
22 require 'dbus'
23 require 'etc'
24 require 'polkit'
25
26 # Choose the bus (could also be DBus::session_bus, which is not suitable for a system service)
27 bus = DBus::system_bus
28 # Define the service name
29 service = bus.request_service("webyast.permissions.service")
30
31 class WebyastPermissionsService < DBus::Object
32
33   # overriding DBus::Object#dispatch
34   # It is needed because dispatch sent just parameters and without sender it is
35   # imposible to check permissions of sender. So to avoid it add as last
36   # parameter sender id.
37   def dispatch(msg)
38     msg.params << msg.sender
39     super(msg)
40   end
41
42   def log(msg)
43     f = File.new("/srv/www/yastws/log/permission_service.log","a",0600)
44     f.write(msg+"\n")
45     f.close
46   end
47
48   # Create an interface.
49   dbus_interface "webyast.permissions.Interface" do
50     dbus_method :grant, "out result:as, in permissions:as, in user:s" do |permissions,user,sender|
51       result = execute("grant", permissions, user,sender)
52       log "Grant permissions #{permissions.inspect} for user #{user} with result #{result.inspect}"
53       [result]
54     end
55     dbus_method :revoke, "out result:as, in permissions:as, in user:s" do |permissions,user,sender|
56       result = execute("revoke", permissions, user,sender)
57       log "Revoke permissions #{permissions.inspect} for user #{user} with result #{result.inspect}"
58       [result]
59     end
60   end
61
62 USER_REGEX=/\A[ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz_][ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789_.-]*[ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789_.$-]?\Z/
63 USER_WITH_DOMAIN_REGEX=/\A[a-zA-Z0-9][a-zA-Z0-9\-.]*\\[ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz_][ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789_.-]*[ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789_.$-]?\Z/
64   def execute (command, permissions, user, sender)
65     #TODO polkit check, user escaping, perm whitespacing
66     return ["NOPERM"] unless check_polkit sender
67     return ["USER_INVALID"] if invalid_user_name? user 
68     result = []
69     permissions.each do |p|
70       #whitespace check for valid permission string to avoid attack
71       if p.match(/^[a-zA-Z][a-zA-Z0-9.-]*$/)
72         result << `polkit-auth --user '#{user}' --#{command} '#{p}' 2>&1` # RORSCAN_ITL
73       else
74         result << "perm #{p} is INVALID" # XXX tom: better don't include invalif perms here, we do not know what the calling function is doing with it, like displaying it via the browser, passing it to the shell etc.
75       end
76     end
77     return result
78   end
79
80   PERMISSION="org.opensuse.yast.permissions.write"
81   def check_polkit(sender)
82     uid = DBus::SystemBus.instance.proxy.GetConnectionUnixUser(sender)[0]
83     user = Etc.getpwuid(uid).name
84     begin
85       return PolKit.polkit_check(PERMISSION, user) == :yes
86     rescue Exception => e
87       return false
88     end
89   end
90
91   def invalid_user_name? user
92     active_directory_enabled = `/usr/sbin/pam-config -q --winbind 2>/dev/null | wc -w`.to_i > 0 # RORSCAN_ITL
93     return false if user.match(USER_REGEX)
94     return false if active_directory_enabled && user.match(USER_WITH_DOMAIN_REGEX)
95     return true
96   end
97 end
98
99 # Set the object path
100 obj = WebyastPermissionsService.new("/webyast/permissions/Interface")
101 # Export it!
102 service.export(obj)
103
104 # Now listen to incoming requests
105 main = DBus::Main.new
106 main << bus
107 main.run