src/v8/test/mjsunit/regress/regress-392114.js

   1 // Copyright 2014 the V8 project authors. All rights reserved.
   2 // Redistribution and use in source and binary forms, with or without
   3 // modification, are permitted provided that the following conditions are
   4 // met:
   5 //
   6 //     * Redistributions of source code must retain the above copyright
   7 //       notice, this list of conditions and the following disclaimer.
   8 //     * Redistributions in binary form must reproduce the above
   9 //       copyright notice, this list of conditions and the following
  10 //       disclaimer in the documentation and/or other materials provided
  11 //       with the distribution.
  12 //     * Neither the name of Google Inc. nor the names of its
  13 //       contributors may be used to endorse or promote products derived
  14 //       from this software without specific prior written permission.
  15 //
  16 // THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS
  17 // "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT
  18 // LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR
  19 // A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT
  20 // OWNER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL,
  21 // SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT
  22 // LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE,
  23 // DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY
  24 // THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT
  25 // (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE
  26 // OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
  27
  28 // Flags: --expose-debug-as debug --allow-natives-syntax
  29
  30 Debug = debug.Debug;
  31
  32 function dummy(x) {
  33   return x + 100;
  34 }
  35
  36 function create_closure() {
  37   var f = function(arg) {
  38     if (arg) { %DeoptimizeFunction(f); }
  39     var a = Array(10);
  40     for (var i = 0; i < a.length; i++) {
  41       a[i] = i;
  42     }
  43   }
  44   return f;
  45 }
  46
  47 var c = create_closure();
  48 c();
  49
  50 // c CallIC state now has custom Array handler installed.
  51
  52 // Turn on the debugger.
  53 Debug.setListener(function () {});
  54
  55 var d = create_closure();
  56 %OptimizeFunctionOnNextCall(d);
  57 // Thanks to the debugger, we recreate the full code too. We deopt and run
  58 // it, stomping on the unexpected AllocationSite in the type vector slot.
  59 d(true);
  60
  61 // CallIC in c misinterprets type vector slot contents as an AllocationSite,
  62 // corrupting the heap.
  63 c();
  64
  65 // CallIC MISS - crash due to corruption.
  66 dummy();