Stop using storage after free
authorKevin Coffman <kwc@citi.umich.edu>
Thu, 8 Feb 2007 22:27:19 +0000 (17:27 -0500)
committerNeil Brown <neilb@suse.de>
Fri, 9 Feb 2007 00:43:04 +0000 (11:43 +1100)
commit4a2e207f73f9ebe938e882f9419a2716fe751481
tree83146c77aaa8a92bbc2eae2aa5924eb0e63bc8f7
parente54fb292fcd9253743fc17ba0af26dcbb0723a5d
Stop using storage after free

Signed-off-by: Jeff Layton <jlayton@redhat.com>
Signed-off-by: Kevin Coffman <kwc@citi.umich.edu>
The previous patch seems to expose a use after free bug in dirscancb. At
least, I could reliably reproduce a segfault by doing a bunch of mounts
and then unmounting them all. The code uses the following list macro:

      TAILQ_FOREACH(ic, icq, ic_next) {

...to iterate over all of the ic entries and clean up any that no longer
have a corresponding directory in rpc_pipefs. This macro unrolls into:

      for(ic=icq->tqh_first; ic != NULL; ic=ic->ic_next.tqe_next) {

...but within this loop, we can free ic, and then the for loop can trip
over that when it tries to do the iteration. The attached patch works
around this by not using the TAILQ_FOREACH macro and saving off the
tqe_next pointer prior to the free.

Again, this was tested on a patched 1.0.6, but the 1.0.10 code is very
similar, and I think the problem exists there as well.
Signed-off-by: Neil Brown <neilb@suse.de>
utils/idmapd/idmapd.c