← Back to branch summary

~snappy-debug-developers/snappy-hub/snappy-debug

« back to all changes in this revision

Viewing changes to data/policy/classic/16/seccomp/browser-support

  • Committer: Alex Murray
  • Date: 2021-08-31 08:48:42 UTC
  • Revision ID: alex.murray@canonical.com-20210831084842-3e4td7zv2ux7s31s
Move to git

Show diffs side-by-side

added added

removed removed

Lines of Context:
data/policy/classic/16/seccomp/browser-support
1
 
# Description: Can access various APIs needed by modern browsers (eg, Google
2
 
# Chrome/Chromium and Mozilla) and file paths they expect. This interface is
3
 
# transitional and is only in place while upstream's work to change their paths
4
 
# and snappy is updated to properly mediate the APIs.
5
 
 
6
 
# for anonymous sockets
7
 
bind
8
 
listen
9
 
accept
10
 
accept4
11
 
 
12
 
# TODO: fine-tune when seccomp arg filtering available in stable distro
13
 
# releases
14
 
setpriority
15
 
 
16
 
# Since snapd still uses SECCOMP_RET_KILL, add a workaround rule to allow mknod
17
 
# on character devices since chromium unconditionally performs a mknod() to
18
 
# create the /dev/nvidiactl device, regardless of if it exists or not or if the
19
 
# process has CAP_MKNOD or not. Since we don't want to actually grant the
20
 
# ability to create character devices, we added an explicit deny AppArmor rule
21
 
# for this capability. When snapd uses SECCOMP_RET_ERRNO, we can remove this
22
 
# rule.
23
 
# https://forum.snapcraft.io/t/call-for-testing-chromium-62-0-3202-62/2569/46
24
 
mknod - |S_IFCHR -
25
 
mknodat - - |S_IFCHR -
26
 
 
27