block: fix NULL deref and stack overflow in queue_wbt_class_conf_store · Pull Request !1302 · OpenCloudOS/OpenCloudOS-Kernel

# block: fix NULL deref and stack overflow in queue_wbt_class_conf_store()

## 问题背景

`/sys/block/<dev>/queue/wbt_class_conf` 由 OCOS 扩展的 WBT cgroup 分级限流特性引入
（`CONFIG_BLK_CGROUP` 下注册,`block/blk-wbt.c: queue_wbt_class_conf_store()`)。
该接口用于按 wbt class 调整 `max_depth` / `min_depth` / `scale_up_pct` / `scale_down_pct`。
经与 vanilla v6.6.119 逐区 diff 审查,发现其输入解析存在 **3 处缺陷**,畸形输入会直接触发内核 oops。

## 缺陷(均可确定性复现)

**缺陷 1: strsep 后先解引用后判空 → kstrtou64(NULL) 空指针崩溃**

```c
	p = tok;
	strsep(&p, "=");
	rc = kstrtou64(p, 0, &val);   /* tok 中无 '=' 时 p == NULL,此处已解引用 */

if (!p || rc)                 /* !p 判空在解引用之后,对 NULL 场景是死代码 */
		return -EINVAL;
```

`lib/string.c` 的 `strsep()` 在未找到分隔符时将 `*s` 置为 NULL;`lib/kstrtox.c` 的
`kstrtou64()` 首先读取 `s[0]`。写入 `echo "0 42" > .../queue/wbt_class_conf`
(第二个 token 不含 `=`)即触发 NULL 解引用 oops。作者显然意识到 p 可能为 NULL
(存在 `!p` 检查),但检查放在了调用之后。

**缺陷 2: rwb_to_wbt_class_info() 返回 NULL 未检查 → ti->min_depth 空指针崩溃**

`wbt_class` 越界(>= WBT_CLASS_NR=3)时 `rwb_to_wbt_class_info()` 打印错误并返回 NULL,
但返回值未判空即被解引用(`val < ti->min_depth`)。写入
`echo "5 max_depth=64" > .../queue/wbt_class_conf` 即触发。
同文件姊妹函数 `queue_wbt_class_lat_store()` **有** `if (ti == NULL) return -EINVAL;` 判空,
两处不对称证明此处系遗漏。

**缺陷 3: sscanf("%hu %s") 无界 %s → tok[64] 栈溢出**

`char tok[64]` 配无界 `%s`,写入长度超过 63 字节的 token(如 `1 max_depth=` + 90 个 9)
即越过栈缓冲区边界覆写栈帧。

## 修复

```c
	if (sscanf(page, "%hu %63s", &wbt_class, tok) != 2)   /* 界定 token 长度 */
		return -EINVAL;
	if (tok[0] == '\0')
		return -EINVAL;
	p = strchr(tok, '=');                                  /* 无 '=' 时返回 NULL 而非置空指针 */
	if (!p)
		return -EINVAL;
	*p++ = '\0';
	rc = kstrtou64(p, 0, &val);
	if (rc)
		return -EINVAL;

ti = rwb_to_wbt_class_info(rwb, wbt_class);
	if (!ti)                                               /* 与 lat_store 对齐 */
		return -EINVAL;
```

语义保持:仍接受 `class key=value`(空格分隔、base 0 含 0x 前缀)。

## 验证

1. **编译验证**:真机 kbuild 树(`CONFIG_BLK_WBT=y + CONFIG_BLK_CGROUP=y + CONFIG_RUE=y`)
   `make block/blk-wbt.o` 通过;`scripts/checkpatch.pl` 0 error 0 warning。
2. **行为复现**:按 `lib/string.c`(strsep)、`lib/kstrtox.c`(kstrtou64 首字符解引用、base 0 自动进制)
   语义构造用户态模型,逐条驱动:

| 输入 | 修复前 | 修复后 |
|---|---|---|
| `0 42`(无 `=`) | SIGSEGV(kstrtou64(NULL)) | -EINVAL |
| `5 max_depth=64`(class 越界) | SIGSEGV(ti NULL 解引用) | -EINVAL |
| 100 字节长 token | SIGSEGV(栈越界写) | 安全截断,无越界 |
| `1 max_depth=64`(合法) | 0(成功) | 0(成功,无回归) |
| `1 max_depth=0x40`(16 进制) | 0 | 0(进制语义保持) |

3. **风格旁证**:同仓 RUE net 侧 `net/core/netclassid_cgroup.c` 的同类解析
   (`%26s` 定界 + `kstrtoul` 前判 `!p`)即为正确写法,本修复与之对齐。

## 影响

`CONFIG_BLK_CGROUP=y` 的发行版配置即暴露该 sysfs 接口(root 可写);
RUE IO 使能时一次误写(漏写 `=`、class 序号越界、超长 token)即导致内核崩溃。

类型	指派人员	状态
审查	zoucao Huang Cun Jianping Liu	已完成 (0/0人)
测试	Jianping Liu	已完成 (0/0人)

GVPOpenCloudOS / OpenCloudOS-Kernel

搜索帮助

GVP OpenCloudOS / OpenCloudOS-Kernel