netfilter: ctnetlink: honor CTA_MARK_MASK when setting ctmark
authorFlorian Westphal <fw@strlen.de>
Thu, 19 Dec 2013 17:25:15 +0000 (18:25 +0100)
committerPablo Neira Ayuso <pablo@netfilter.org>
Fri, 20 Dec 2013 09:21:42 +0000 (10:21 +0100)
Useful to only set a particular range of the conntrack mark while
leaving exisiting parts of the value alone, e.g. when setting
conntrack marks via NFQUEUE.

Follows same scheme as MARK/CONNMARK targets, i.e. the mask defines
those bits that should be altered.  No mask is equal to '~0', ie.
the old value is replaced by new one.

Signed-off-by: Florian Westphal <fw@strlen.de>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>
net/netfilter/nf_conntrack_netlink.c

index 08870b859046fb17f40125b7e1f8faeb42d93061..bb322d0beb484f3c66a334a5e0b24651f2a1ffca 100644 (file)
@@ -2118,8 +2118,16 @@ ctnetlink_nfqueue_parse_ct(const struct nlattr *cda[], struct nf_conn *ct)
                        return err;
        }
 #if defined(CONFIG_NF_CONNTRACK_MARK)
-       if (cda[CTA_MARK])
-               ct->mark = ntohl(nla_get_be32(cda[CTA_MARK]));
+       if (cda[CTA_MARK]) {
+               u32 mask = 0, mark, newmark;
+               if (cda[CTA_MARK_MASK])
+                       mask = ~ntohl(nla_get_be32(cda[CTA_MARK_MASK]));
+
+               mark = ntohl(nla_get_be32(cda[CTA_MARK]));
+               newmark = (ct->mark & mask) ^ mark;
+               if (newmark != ct->mark)
+                       ct->mark = newmark;
+       }
 #endif
        return 0;
 }