פתרון admission והרשאות

נוסיף ל־Used שדה fds ול־Permit שדה fds, ונחשב next_count, next_bytes ו־next_fds לפני שינוי כלשהו. רק אחרי שכל checked_add וכל השוואות הגבול הצליחו נעדכן את שלושת השדות. כך כשל אינו דורש rollback של הזמנה חלקית.

בדיקת ההשאלה החוסמת משתמשת ב־barrier או channel שמאפשרים לשלוט בזמן הסיום. ה־worker מקבל permit בבעלות, מסמן שהתחיל וממתין לאות. הקורא מבטל את ה־future שלו ומנסה לרכוש permit נוסף. הניסיון צריך להיכשל עד שהבדיקה משחררת את ה־worker והוא מפיל את ה־permit. המתנה לפי זמן בלבד פחות טובה משום שאינה מוכיחה באיזה שלב נמצא ה־thread.

בדיקת הרשאות אחת תנסה openat מחוץ ל־dirfd המותר ותאמת שהמדיניות דוחה resolution לא מורשה. בדיקה שנייה תנסה syscall שאינו ברשימת seccomp ותאמת את הפעולה שהמסנן הוגדר לבצע. בדיקה שלישית תנסה לכתוב בתיקיית מערכת שה־mount namespace מציג לקריאה בלבד. אין לדרוש errno זהה מכל שכבות ההגנה אם החוזה מאפשר כמה מנגנוני דחייה; נרשום איזה מנגנון אמור להכריע בכל בדיקה.

ב־SCM_RIGHTS נבנה רשימת OwnedFd מיד לאחר parse תקין של control messages, ונעביר לבעלות העסקית רק את הכמות המותרת. כל יתר הרשימה תיפול ותיסגר. במקרה MSG_CTRUNC נפעל לפי מדיניות דחייה וננקה את מה שהתקבל בפועל, במקום להמשיך כאילו בקשה חלקית היתה שלמה.