]> rtime.felk.cvut.cz Git - lisovros/qemu_apohw.git/blob - block/cloop.c
block/cloop: refuse images with bogus offsets (CVE-2014-0144)
[lisovros/qemu_apohw.git] / block / cloop.c
1 /*
2  * QEMU Block driver for CLOOP images
3  *
4  * Copyright (c) 2004 Johannes E. Schindelin
5  *
6  * Permission is hereby granted, free of charge, to any person obtaining a copy
7  * of this software and associated documentation files (the "Software"), to deal
8  * in the Software without restriction, including without limitation the rights
9  * to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
10  * copies of the Software, and to permit persons to whom the Software is
11  * furnished to do so, subject to the following conditions:
12  *
13  * The above copyright notice and this permission notice shall be included in
14  * all copies or substantial portions of the Software.
15  *
16  * THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
17  * IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
18  * FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL
19  * THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
20  * LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
21  * OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN
22  * THE SOFTWARE.
23  */
24 #include "qemu-common.h"
25 #include "block/block_int.h"
26 #include "qemu/module.h"
27 #include <zlib.h>
28
29 /* Maximum compressed block size */
30 #define MAX_BLOCK_SIZE (64 * 1024 * 1024)
31
32 typedef struct BDRVCloopState {
33     CoMutex lock;
34     uint32_t block_size;
35     uint32_t n_blocks;
36     uint64_t *offsets;
37     uint32_t sectors_per_block;
38     uint32_t current_block;
39     uint8_t *compressed_block;
40     uint8_t *uncompressed_block;
41     z_stream zstream;
42 } BDRVCloopState;
43
44 static int cloop_probe(const uint8_t *buf, int buf_size, const char *filename)
45 {
46     const char *magic_version_2_0 = "#!/bin/sh\n"
47         "#V2.0 Format\n"
48         "modprobe cloop file=$0 && mount -r -t iso9660 /dev/cloop $1\n";
49     int length = strlen(magic_version_2_0);
50     if (length > buf_size) {
51         length = buf_size;
52     }
53     if (!memcmp(magic_version_2_0, buf, length)) {
54         return 2;
55     }
56     return 0;
57 }
58
59 static int cloop_open(BlockDriverState *bs, QDict *options, int flags,
60                       Error **errp)
61 {
62     BDRVCloopState *s = bs->opaque;
63     uint32_t offsets_size, max_compressed_block_size = 1, i;
64     int ret;
65
66     bs->read_only = 1;
67
68     /* read header */
69     ret = bdrv_pread(bs->file, 128, &s->block_size, 4);
70     if (ret < 0) {
71         return ret;
72     }
73     s->block_size = be32_to_cpu(s->block_size);
74     if (s->block_size % 512) {
75         error_setg(errp, "block_size %u must be a multiple of 512",
76                    s->block_size);
77         return -EINVAL;
78     }
79     if (s->block_size == 0) {
80         error_setg(errp, "block_size cannot be zero");
81         return -EINVAL;
82     }
83
84     /* cloop's create_compressed_fs.c warns about block sizes beyond 256 KB but
85      * we can accept more.  Prevent ridiculous values like 4 GB - 1 since we
86      * need a buffer this big.
87      */
88     if (s->block_size > MAX_BLOCK_SIZE) {
89         error_setg(errp, "block_size %u must be %u MB or less",
90                    s->block_size,
91                    MAX_BLOCK_SIZE / (1024 * 1024));
92         return -EINVAL;
93     }
94
95     ret = bdrv_pread(bs->file, 128 + 4, &s->n_blocks, 4);
96     if (ret < 0) {
97         return ret;
98     }
99     s->n_blocks = be32_to_cpu(s->n_blocks);
100
101     /* read offsets */
102     if (s->n_blocks > UINT32_MAX / sizeof(uint64_t)) {
103         /* Prevent integer overflow */
104         error_setg(errp, "n_blocks %u must be %zu or less",
105                    s->n_blocks,
106                    UINT32_MAX / sizeof(uint64_t));
107         return -EINVAL;
108     }
109     offsets_size = s->n_blocks * sizeof(uint64_t);
110     if (offsets_size > 512 * 1024 * 1024) {
111         /* Prevent ridiculous offsets_size which causes memory allocation to
112          * fail or overflows bdrv_pread() size.  In practice the 512 MB
113          * offsets[] limit supports 16 TB images at 256 KB block size.
114          */
115         error_setg(errp, "image requires too many offsets, "
116                    "try increasing block size");
117         return -EINVAL;
118     }
119     s->offsets = g_malloc(offsets_size);
120
121     ret = bdrv_pread(bs->file, 128 + 4 + 4, s->offsets, offsets_size);
122     if (ret < 0) {
123         goto fail;
124     }
125
126     for(i=0;i<s->n_blocks;i++) {
127         uint64_t size;
128
129         s->offsets[i] = be64_to_cpu(s->offsets[i]);
130         if (i == 0) {
131             continue;
132         }
133
134         if (s->offsets[i] < s->offsets[i - 1]) {
135             error_setg(errp, "offsets not monotonically increasing at "
136                        "index %u, image file is corrupt", i);
137             ret = -EINVAL;
138             goto fail;
139         }
140
141         size = s->offsets[i] - s->offsets[i - 1];
142
143         /* Compressed blocks should be smaller than the uncompressed block size
144          * but maybe compression performed poorly so the compressed block is
145          * actually bigger.  Clamp down on unrealistic values to prevent
146          * ridiculous s->compressed_block allocation.
147          */
148         if (size > 2 * MAX_BLOCK_SIZE) {
149             error_setg(errp, "invalid compressed block size at index %u, "
150                        "image file is corrupt", i);
151             ret = -EINVAL;
152             goto fail;
153         }
154
155         if (size > max_compressed_block_size) {
156             max_compressed_block_size = size;
157         }
158     }
159
160     /* initialize zlib engine */
161     s->compressed_block = g_malloc(max_compressed_block_size + 1);
162     s->uncompressed_block = g_malloc(s->block_size);
163     if (inflateInit(&s->zstream) != Z_OK) {
164         ret = -EINVAL;
165         goto fail;
166     }
167     s->current_block = s->n_blocks;
168
169     s->sectors_per_block = s->block_size/512;
170     bs->total_sectors = s->n_blocks * s->sectors_per_block;
171     qemu_co_mutex_init(&s->lock);
172     return 0;
173
174 fail:
175     g_free(s->offsets);
176     g_free(s->compressed_block);
177     g_free(s->uncompressed_block);
178     return ret;
179 }
180
181 static inline int cloop_read_block(BlockDriverState *bs, int block_num)
182 {
183     BDRVCloopState *s = bs->opaque;
184
185     if (s->current_block != block_num) {
186         int ret;
187         uint32_t bytes = s->offsets[block_num + 1] - s->offsets[block_num];
188
189         ret = bdrv_pread(bs->file, s->offsets[block_num], s->compressed_block,
190                          bytes);
191         if (ret != bytes) {
192             return -1;
193         }
194
195         s->zstream.next_in = s->compressed_block;
196         s->zstream.avail_in = bytes;
197         s->zstream.next_out = s->uncompressed_block;
198         s->zstream.avail_out = s->block_size;
199         ret = inflateReset(&s->zstream);
200         if (ret != Z_OK) {
201             return -1;
202         }
203         ret = inflate(&s->zstream, Z_FINISH);
204         if (ret != Z_STREAM_END || s->zstream.total_out != s->block_size) {
205             return -1;
206         }
207
208         s->current_block = block_num;
209     }
210     return 0;
211 }
212
213 static int cloop_read(BlockDriverState *bs, int64_t sector_num,
214                     uint8_t *buf, int nb_sectors)
215 {
216     BDRVCloopState *s = bs->opaque;
217     int i;
218
219     for (i = 0; i < nb_sectors; i++) {
220         uint32_t sector_offset_in_block =
221             ((sector_num + i) % s->sectors_per_block),
222             block_num = (sector_num + i) / s->sectors_per_block;
223         if (cloop_read_block(bs, block_num) != 0) {
224             return -1;
225         }
226         memcpy(buf + i * 512,
227             s->uncompressed_block + sector_offset_in_block * 512, 512);
228     }
229     return 0;
230 }
231
232 static coroutine_fn int cloop_co_read(BlockDriverState *bs, int64_t sector_num,
233                                       uint8_t *buf, int nb_sectors)
234 {
235     int ret;
236     BDRVCloopState *s = bs->opaque;
237     qemu_co_mutex_lock(&s->lock);
238     ret = cloop_read(bs, sector_num, buf, nb_sectors);
239     qemu_co_mutex_unlock(&s->lock);
240     return ret;
241 }
242
243 static void cloop_close(BlockDriverState *bs)
244 {
245     BDRVCloopState *s = bs->opaque;
246     if (s->n_blocks > 0) {
247         g_free(s->offsets);
248     }
249     g_free(s->compressed_block);
250     g_free(s->uncompressed_block);
251     inflateEnd(&s->zstream);
252 }
253
254 static BlockDriver bdrv_cloop = {
255     .format_name    = "cloop",
256     .instance_size  = sizeof(BDRVCloopState),
257     .bdrv_probe     = cloop_probe,
258     .bdrv_open      = cloop_open,
259     .bdrv_read      = cloop_co_read,
260     .bdrv_close     = cloop_close,
261 };
262
263 static void bdrv_cloop_init(void)
264 {
265     bdrv_register(&bdrv_cloop);
266 }
267
268 block_init(bdrv_cloop_init);