libc/bionic/libc_init_common.cpp

   1 /*
   2  * Copyright (C) 2008 The Android Open Source Project
   3  * All rights reserved.
   4  *
   5  * Redistribution and use in source and binary forms, with or without
   6  * modification, are permitted provided that the following conditions
   7  * are met:
   8  *  * Redistributions of source code must retain the above copyright
   9  *    notice, this list of conditions and the following disclaimer.
  10  *  * Redistributions in binary form must reproduce the above copyright
  11  *    notice, this list of conditions and the following disclaimer in
  12  *    the documentation and/or other materials provided with the
  13  *    distribution.
  14  *
  15  * THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS
  16  * "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT
  17  * LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS
  18  * FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE
  19  * COPYRIGHT OWNER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT,
  20  * INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING,
  21  * BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS
  22  * OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED
  23  * AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY,
  24  * OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT
  25  * OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  26  * SUCH DAMAGE.
  27  */
  28
  29 #include "libc_init_common.h"
  30
  31 #include <elf.h>
  32 #include <errno.h>
  33 #include <fcntl.h>
  34 #include <stddef.h>
  35 #include <stdint.h>
  36 #include <stdio.h>
  37 #include <stdlib.h>
  38 #include <string.h>
  39 #include <sys/auxv.h>
  40 #include <sys/personality.h>
  41 #include <sys/time.h>
  42 #include <unistd.h>
  43
  44 #include <async_safe/log.h>
  45
  46 #include "private/KernelArgumentBlock.h"
  47 #include "private/WriteProtected.h"
  48 #include "private/bionic_auxv.h"
  49 #include "private/bionic_globals.h"
  50 #include "private/bionic_tls.h"
  51 #include "private/thread_private.h"
  52 #include "pthread_internal.h"
  53
  54 extern "C" abort_msg_t** __abort_message_ptr;
  55 extern "C" int __system_properties_init(void);
  56
  57 __LIBC_HIDDEN__ WriteProtected<libc_globals> __libc_globals;
  58
  59 // Not public, but well-known in the BSDs.
  60 const char* __progname;
  61
  62 // Declared in <unistd.h>.
  63 char** environ;
  64
  65 #if defined(__i386__)
  66 __attribute__((__naked__)) static void __libc_int0x80() {
  67   __asm__ volatile("int $0x80; ret");
  68 }
  69
  70 __LIBC_HIDDEN__ void* __libc_sysinfo = reinterpret_cast<void*>(__libc_int0x80);
  71
  72 __LIBC_HIDDEN__ void __libc_init_sysinfo(KernelArgumentBlock& args) {
  73   __libc_sysinfo = reinterpret_cast<void*>(args.getauxval(AT_SYSINFO));
  74 }
  75
  76 // TODO: lose this function and just access __libc_sysinfo directly.
  77 __LIBC_HIDDEN__ extern "C" void* __kernel_syscall() {
  78   return __libc_sysinfo;
  79 }
  80 #endif
  81
  82 void __libc_init_globals(KernelArgumentBlock& args) {
  83 #if defined(__i386__)
  84   __libc_init_sysinfo(args);
  85 #endif
  86   // Initialize libc globals that are needed in both the linker and in libc.
  87   // In dynamic binaries, this is run at least twice for different copies of the
  88   // globals, once for the linker's copy and once for the one in libc.so.
  89   __libc_auxv = args.auxv;
  90   __libc_globals.initialize();
  91   __libc_globals.mutate([&args](libc_globals* globals) {
  92     __libc_init_vdso(globals, args);
  93     __libc_init_setjmp_cookie(globals, args);
  94   });
  95 }
  96
  97 #if !defined(__LP64__)
  98 static void __check_max_thread_id() {
  99   if (gettid() > 65535) {
 100     async_safe_fatal("Limited by the size of pthread_mutex_t, 32 bit bionic libc only accepts "
 101                      "pid <= 65535, but current pid is %d", gettid());
 102   }
 103 }
 104 #endif
 105
 106 static void arc4random_fork_handler() {
 107   _rs_forked = 1;
 108   _thread_arc4_lock();
 109 }
 110
 111 void __libc_init_common(KernelArgumentBlock& args) {
 112   // Initialize various globals.
 113   environ = args.envp;
 114   errno = 0;
 115   __progname = args.argv[0] ? args.argv[0] : "<unknown>";
 116   __abort_message_ptr = args.abort_message_ptr;
 117
 118 #if !defined(__LP64__)
 119   __check_max_thread_id();
 120 #endif
 121
 122   // Get the main thread from TLS and add it to the thread list.
 123   pthread_internal_t* main_thread = __get_thread();
 124   __pthread_internal_add(main_thread);
 125
 126   // Register atfork handlers to take and release the arc4random lock.
 127   pthread_atfork(arc4random_fork_handler, _thread_arc4_unlock, _thread_arc4_unlock);
 128
 129   __system_properties_init(); // Requires 'environ'.
 130 }
 131
 132 __noreturn static void __early_abort(int line) {
 133   // We can't write to stdout or stderr because we're aborting before we've checked that
 134   // it's safe for us to use those file descriptors. We probably can't strace either, so
 135   // we rely on the fact that if we dereference a low address, either debuggerd or the
 136   // kernel's crash dump will show the fault address.
 137   *reinterpret_cast<int*>(line) = 0;
 138   _exit(EXIT_FAILURE);
 139 }
 140
 141 // Force any of the closed stdin, stdout and stderr to be associated with /dev/null.
 142 static void __nullify_closed_stdio() {
 143   int dev_null = TEMP_FAILURE_RETRY(open("/dev/null", O_RDWR));
 144   if (dev_null == -1) {
 145     // init won't have /dev/null available, but SELinux provides an equivalent.
 146     dev_null = TEMP_FAILURE_RETRY(open("/sys/fs/selinux/null", O_RDWR));
 147   }
 148   if (dev_null == -1) {
 149     __early_abort(__LINE__);
 150   }
 151
 152   // If any of the stdio file descriptors is valid and not associated
 153   // with /dev/null, dup /dev/null to it.
 154   for (int i = 0; i < 3; i++) {
 155     // If it is /dev/null already, we are done.
 156     if (i == dev_null) {
 157       continue;
 158     }
 159
 160     // Is this fd already open?
 161     int status = TEMP_FAILURE_RETRY(fcntl(i, F_GETFL));
 162     if (status != -1) {
 163       continue;
 164     }
 165
 166     // The only error we allow is that the file descriptor does not
 167     // exist, in which case we dup /dev/null to it.
 168     if (errno == EBADF) {
 169       // Try dupping /dev/null to this stdio file descriptor and
 170       // repeat if there is a signal. Note that any errors in closing
 171       // the stdio descriptor are lost.
 172       status = TEMP_FAILURE_RETRY(dup2(dev_null, i));
 173       if (status == -1) {
 174         __early_abort(__LINE__);
 175       }
 176     } else {
 177       __early_abort(__LINE__);
 178     }
 179   }
 180
 181   // If /dev/null is not one of the stdio file descriptors, close it.
 182   if (dev_null > 2) {
 183     if (close(dev_null) == -1) {
 184       __early_abort(__LINE__);
 185     }
 186   }
 187 }
 188
 189 // Check if the environment variable definition at 'envstr'
 190 // starts with '<name>=', and if so return the address of the
 191 // first character after the equal sign. Otherwise return null.
 192 static const char* env_match(const char* envstr, const char* name) {
 193   size_t i = 0;
 194
 195   while (envstr[i] == name[i] && name[i] != '\0') {
 196     ++i;
 197   }
 198
 199   if (name[i] == '\0' && envstr[i] == '=') {
 200     return envstr + i + 1;
 201   }
 202
 203   return nullptr;
 204 }
 205
 206 static bool __is_valid_environment_variable(const char* name) {
 207   // According to the kernel source, by default the kernel uses 32*PAGE_SIZE
 208   // as the maximum size for an environment variable definition.
 209   const int MAX_ENV_LEN = 32*4096;
 210
 211   if (name == nullptr) {
 212     return false;
 213   }
 214
 215   // Parse the string, looking for the first '=' there, and its size.
 216   int pos = 0;
 217   int first_equal_pos = -1;
 218   while (pos < MAX_ENV_LEN) {
 219     if (name[pos] == '\0') {
 220       break;
 221     }
 222     if (name[pos] == '=' && first_equal_pos < 0) {
 223       first_equal_pos = pos;
 224     }
 225     pos++;
 226   }
 227
 228   // Check that it's smaller than MAX_ENV_LEN (to detect non-zero terminated strings).
 229   if (pos >= MAX_ENV_LEN) {
 230     return false;
 231   }
 232
 233   // Check that it contains at least one equal sign that is not the first character
 234   if (first_equal_pos < 1) {
 235     return false;
 236   }
 237
 238   return true;
 239 }
 240
 241 static bool __is_unsafe_environment_variable(const char* name) {
 242   // None of these should be allowed when the AT_SECURE auxv
 243   // flag is set. This flag is set to inform userspace that a
 244   // security transition has occurred, for example, as a result
 245   // of executing a setuid program or the result of an SELinux
 246   // security transition.
 247   static constexpr const char* UNSAFE_VARIABLE_NAMES[] = {
 248     "ANDROID_DNS_MODE",
 249     "GCONV_PATH",
 250     "GETCONF_DIR",
 251     "HOSTALIASES",
 252     "JE_MALLOC_CONF",
 253     "LD_AOUT_LIBRARY_PATH",
 254     "LD_AOUT_PRELOAD",
 255     "LD_AUDIT",
 256     "LD_DEBUG",
 257     "LD_DEBUG_OUTPUT",
 258     "LD_DYNAMIC_WEAK",
 259     "LD_LIBRARY_PATH",
 260     "LD_ORIGIN_PATH",
 261     "LD_PRELOAD",
 262     "LD_PROFILE",
 263     "LD_SHOW_AUXV",
 264     "LD_USE_LOAD_BIAS",
 265     "LOCALDOMAIN",
 266     "LOCPATH",
 267     "MALLOC_CHECK_",
 268     "MALLOC_CONF",
 269     "MALLOC_TRACE",
 270     "NIS_PATH",
 271     "NLSPATH",
 272     "RESOLV_HOST_CONF",
 273     "RES_OPTIONS",
 274     "TMPDIR",
 275     "TZDIR",
 276   };
 277   for (const auto& unsafe_variable_name : UNSAFE_VARIABLE_NAMES) {
 278     if (env_match(name, unsafe_variable_name) != nullptr) {
 279       return true;
 280     }
 281   }
 282   return false;
 283 }
 284
 285 static void __sanitize_environment_variables(char** env) {
 286   bool is_AT_SECURE = getauxval(AT_SECURE);
 287   char** src = env;
 288   char** dst = env;
 289   for (; src[0] != nullptr; ++src) {
 290     if (!__is_valid_environment_variable(src[0])) {
 291       continue;
 292     }
 293     // Remove various unsafe environment variables if we're loading a setuid program.
 294     if (is_AT_SECURE && __is_unsafe_environment_variable(src[0])) {
 295       continue;
 296     }
 297     dst[0] = src[0];
 298     ++dst;
 299   }
 300   dst[0] = nullptr;
 301 }
 302
 303 static void __initialize_personality() {
 304 #if !defined(__LP64__)
 305   int old_value = personality(0xffffffff);
 306   if (old_value == -1) {
 307     async_safe_fatal("error getting old personality value: %s", strerror(errno));
 308   }
 309
 310   if (personality((static_cast<unsigned int>(old_value) & ~PER_MASK) | PER_LINUX32) == -1) {
 311     async_safe_fatal("error setting PER_LINUX32 personality: %s", strerror(errno));
 312   }
 313 #endif
 314 }
 315
 316 void __libc_init_AT_SECURE(KernelArgumentBlock& args) {
 317   __libc_auxv = args.auxv;
 318   __abort_message_ptr = args.abort_message_ptr;
 319
 320   // Check that the kernel provided a value for AT_SECURE.
 321   bool found_AT_SECURE = false;
 322   for (ElfW(auxv_t)* v = __libc_auxv; v->a_type != AT_NULL; ++v) {
 323     if (v->a_type == AT_SECURE) {
 324       found_AT_SECURE = true;
 325       break;
 326     }
 327   }
 328   if (!found_AT_SECURE) __early_abort(__LINE__);
 329
 330   if (getauxval(AT_SECURE)) {
 331     // If this is a setuid/setgid program, close the security hole described in
 332     // https://www.freebsd.org/security/advisories/FreeBSD-SA-02:23.stdio.asc
 333     __nullify_closed_stdio();
 334
 335     __sanitize_environment_variables(args.envp);
 336   }
 337
 338   // Now the environment has been sanitized, make it available.
 339   environ = args.envp;
 340
 341   __initialize_personality();
 342 }
 343
 344 /* This function will be called during normal program termination
 345  * to run the destructors that are listed in the .fini_array section
 346  * of the executable, if any.
 347  *
 348  * 'fini_array' points to a list of function addresses. The first
 349  * entry in the list has value -1, the last one has value 0.
 350  */
 351 void __libc_fini(void* array) {
 352   typedef void (*Dtor)();
 353   Dtor* fini_array = reinterpret_cast<Dtor*>(array);
 354   const Dtor minus1 = reinterpret_cast<Dtor>(static_cast<uintptr_t>(-1));
 355
 356   // Sanity check - first entry must be -1.
 357   if (array == NULL || fini_array[0] != minus1) {
 358     return;
 359   }
 360
 361   // Skip over it.
 362   fini_array += 1;
 363
 364   // Count the number of destructors.
 365   int count = 0;
 366   while (fini_array[count] != NULL) {
 367     ++count;
 368   }
 369
 370   // Now call each destructor in reverse order.
 371   while (count > 0) {
 372     Dtor dtor = fini_array[--count];
 373
 374     // Sanity check, any -1 in the list is ignored.
 375     if (dtor == minus1) {
 376       continue;
 377     }
 378
 379     dtor();
 380   }
 381 }