]> Savannah Git Hosting - gnulib.git/commitdiff
glob: Fix use-after-free bug.
authorBruno Haible <bruno@clisp.org>
Fri, 17 Jan 2020 20:56:01 +0000 (21:56 +0100)
committerBruno Haible <bruno@clisp.org>
Fri, 17 Jan 2020 20:56:01 +0000 (21:56 +0100)
Reported by Tim Rühsen <tim.ruehsen@gmx.de> in
<https://lists.gnu.org/archive/html/bug-gnulib/2020-01/msg00102.html>.

* lib/glob.c (__glob): Delay freeing dirname until after the use of
end_name.

ChangeLog
lib/glob.c

index 643dba312c104e3b8456a782ca5ec5a514bfd02c..4f4718a8af47d2b08e51d626e95d9ec9fe04b317 100644 (file)
--- a/ChangeLog
+++ b/ChangeLog
@@ -1,3 +1,12 @@
+2020-01-17  Bruno Haible  <bruno@clisp.org>
+            Paul Eggert  <eggert@cs.ucla.edu>
+
+       glob: Fix use-after-free bug.
+       Reported by Tim Rühsen <tim.ruehsen@gmx.de> in
+       <https://lists.gnu.org/archive/html/bug-gnulib/2020-01/msg00102.html>.
+       * lib/glob.c (__glob): Delay freeing dirname until after the use of
+       end_name.
+
 2020-01-16  Siddhesh Poyarekar  <siddhesh@gotplt.org>
 
        vcs-to-changelog: Fix parsing of fndecl without args.
index a67cbb67e0923f770a9399eca4729519a945ecb7..add5d939d27862566f3d939e0bab24ce96e5c22a 100644 (file)
@@ -843,10 +843,11 @@ __glob (const char *pattern, int flags, int (*errfunc) (const char *, int),
               {
                 size_t home_len = strlen (p->pw_dir);
                 size_t rest_len = end_name == NULL ? 0 : strlen (end_name);
+                /* dirname contains end_name; we can't free it now.  */
+                char *prev_dirname =
+                  (__glibc_unlikely (malloc_dirname) ? dirname : NULL);
                 char *d;
 
-                if (__glibc_unlikely (malloc_dirname))
-                  free (dirname);
                 malloc_dirname = 0;
 
                 if (glob_use_alloca (alloca_used, home_len + rest_len + 1))
@@ -857,6 +858,7 @@ __glob (const char *pattern, int flags, int (*errfunc) (const char *, int),
                     dirname = malloc (home_len + rest_len + 1);
                     if (dirname == NULL)
                       {
+                        free (prev_dirname);
                         scratch_buffer_free (&pwtmpbuf);
                         retval = GLOB_NOSPACE;
                         goto out;
@@ -868,6 +870,8 @@ __glob (const char *pattern, int flags, int (*errfunc) (const char *, int),
                   d = mempcpy (d, end_name, rest_len);
                 *d = '\0';
 
+                free (prev_dirname);
+
                 dirlen = home_len + rest_len;
                 dirname_modified = 1;
               }