audit: eliminate unnecessary extra layer of watch parent references
authorRichard Guy Briggs <rgb@redhat.com>
Sat, 1 Aug 2015 19:41:13 +0000 (15:41 -0400)
committerPaul Moore <pmoore@redhat.com>
Tue, 4 Aug 2015 22:26:33 +0000 (18:26 -0400)
commitaa7c043d9783f538319e77deeae5d90ff5d6907b
tree41837136785451c917dd5f98055bf204c471c4ea
parentf8259b262bedd5ec71e55de5953464ea86ff69d9
audit: eliminate unnecessary extra layer of watch parent references

The audit watch parent count was imbalanced, adding an unnecessary layer of
watch parent references.  Decrement the additional parent reference when a
watch is reused, already having a reference to the parent.

audit_find_parent() gets a reference to the parent, if the parent is
already known.  This additional parental reference is not needed if the
watch is subsequently found by audit_add_to_parent(), and consumed if
the watch does not already exist, so we need to put the parent if the
watch is found, and do nothing if this new watch is added to the parent.

If the parent wasn't already known, it is created with a refcount of 1
and added to the audit_watch_group, then incremented by one to be
subsequently consumed by the newly created watch in
audit_add_to_parent().

The rule points to the watch, not to the parent, so the rule's refcount
gets bumped, not the parent's.

See LKML, 2015-07-16

Signed-off-by: Richard Guy Briggs <rgb@redhat.com>
Signed-off-by: Paul Moore <pmoore@redhat.com>
kernel/audit_watch.c