[lvc-project] [PATCH 5.10] bpf: fix potential 32-bit overflow when accessing ARRAY map element

[Fedor Pchelkin]

On Mon, 16. Mar 12:35, Viktoriya Danchenko wrote:
> From: Andrii Nakryiko <andrii at kernel.org>
> 
> [ Upstream commit 87ac0d600943994444e24382a87aa19acc4cd3d4 ]
> 
> If BPF array map is bigger than 4GB, element pointer calculation can
> overflow because both index and elem_size are u32. Fix this everywhere
> by forcing 64-bit multiplication. Extract this formula into separate
> small helper and use it consistently in various places.
> 
> Speculative-preventing formula utilizing index_mask trick is left as is,
> but explicit u64 casts are added in both places.
> 
> Fixes: c85d69135a91 ("bpf: move memory size checks to bpf_map_charge_init()")
> Signed-off-by: Andrii Nakryiko <andrii at kernel.org>
> Link: https://lore.kernel.org/r/20220715053146.1291891-2-andrii@kernel.org
> Signed-off-by: Alexei Starovoitov <ast at kernel.org>
> Signed-off-by: Sasha Levin <sashal at kernel.org>
> Signed-off-by: Andrey Algin <a.algin at omp.ru>
> Signed-off-by: Viktoriya Danchenko <v.danchenko at omp.ru>

Для будущих бэкпортов: просьба ставить от себя поясняющий комментарий в
квадратных скобках над своей подписью, поясняющий, если пришлось
устранять нетривиальный конфликт при переносе патча.  Так другим будет
понятно, что вы как минимум проанализировали конфликтное место, а не
машинально устранили его.

Устранение нескольких неактуальных для стабильной ветки частей патча
_не является тривиальным_ и достойно краткого комментария.

Здесь более чем достаточно общей фразы:

[ Viktoriya: drop patch hunks not relevant for 5.10 and related to newer
  functionality, namely added by:
  - 68134668c17f ("bpf: Add map side support for bpf timers.")
  - 14a324f6a67e ("bpf: Wire up freeing of referenced kptr")
  - 06dcdcd4b9e8 ("bpf: Add arraymap support for bpf_for_each_map_elem()
    helper") ]

Коммиты перечислять необязательно, но таким образом вы чётко всё
обоснуете.

> ---
> Backport fix for CVE-2022-50167
> ---
>  kernel/bpf/arraymap.c | 13 +++++++++----
>  1 file changed, 9 insertions(+), 4 deletions(-)
> 
> diff --git a/kernel/bpf/arraymap.c b/kernel/bpf/arraymap.c
> index 3d92e42c3895..06f27f4bdf59 100644
> --- a/kernel/bpf/arraymap.c
> +++ b/kernel/bpf/arraymap.c
> @@ -174,6 +174,11 @@ static struct bpf_map *array_map_alloc(union bpf_attr *attr)
>  	return &array->map;
>  }
>  
> +static void *array_map_elem_ptr(struct bpf_array* array, u32 index)
> +{
> +	return array->value + (u64)array->elem_size * index;
> +}
> +
>  /* Called from syscall or from eBPF program */
>  static void *array_map_lookup_elem(struct bpf_map *map, void *key)
>  {
> @@ -183,7 +188,7 @@ static void *array_map_lookup_elem(struct bpf_map *map, void *key)
>  	if (unlikely(index >= array->map.max_entries))
>  		return NULL;
>  
> -	return array->value + array->elem_size * (index & array->index_mask);
> +	return array->value + (u64)array->elem_size * (index & array->index_mask);
>  }
>  
>  static int array_map_direct_value_addr(const struct bpf_map *map, u64 *imm,
> @@ -335,7 +340,7 @@ static int array_map_update_elem(struct bpf_map *map, void *key, void *value,
>  		       value, map->value_size);
>  	} else {
>  		val = array->value +
> -			array->elem_size * (index & array->index_mask);
> +			(u64)array->elem_size * (index & array->index_mask);
>  		if (map_flags & BPF_F_LOCK)
>  			copy_map_value_locked(map, val, value, false);
>  		else
> @@ -530,7 +535,7 @@ static void *bpf_array_map_seq_start(struct seq_file *seq, loff_t *pos)
>  	index = info->index & array->index_mask;
>  	if (info->percpu_value_buf)
>  	       return array->pptrs[index];
> -	return array->value + array->elem_size * index;
> +	return array_map_elem_ptr(array, index);
>  }
>  
>  static void *bpf_array_map_seq_next(struct seq_file *seq, void *v, loff_t *pos)
> @@ -549,7 +554,7 @@ static void *bpf_array_map_seq_next(struct seq_file *seq, void *v, loff_t *pos)
>  	index = info->index & array->index_mask;
>  	if (info->percpu_value_buf)
>  	       return array->pptrs[index];
> -	return array->value + array->elem_size * index;
> +	return array_map_elem_ptr(array, index);
>  }
>  
>  static int __bpf_array_map_seq_show(struct seq_file *seq, void *v)
> -- 
> 2.43.0