bpf: Fix verifier jsgt branch analysis on max bound
authorDaniel Borkmann <daniel@iogearbox.net>
Fri, 5 Feb 2021 16:20:14 +0000 (17:20 +0100)
committerDaniel Borkmann <daniel@iogearbox.net>
Wed, 10 Feb 2021 00:31:45 +0000 (01:31 +0100)
commitee114dd64c0071500345439fc79dd5e0f9d106ed
tree32a6a5f19f508c60da0e9eaef0d419c26bdf2063
parent6183f4d3a0a2ad230511987c6c362ca43ec0055f
bpf: Fix verifier jsgt branch analysis on max bound

Fix incorrect is_branch{32,64}_taken() analysis for the jsgt case. The return
code for both will tell the caller whether a given conditional jump is taken
or not, e.g. 1 means branch will be taken [for the involved registers] and the
goto target will be executed, 0 means branch will not be taken and instead we
fall-through to the next insn, and last but not least a -1 denotes that it is
not known at verification time whether a branch will be taken or not. Now while
the jsgt has the branch-taken case correct with reg->s32_min_value > sval, the
branch-not-taken case is off-by-one when testing for reg->s32_max_value < sval
since the branch will also be taken for reg->s32_max_value == sval. The jgt
branch analysis, for example, gets this right.

Fixes: 3f50f132d840 ("bpf: Verifier, do explicit ALU32 bounds tracking")
Fixes: 4f7b3e82589e ("bpf: improve verifier branch analysis")
Signed-off-by: Daniel Borkmann <daniel@iogearbox.net>
Reviewed-by: John Fastabend <john.fastabend@gmail.com>
Acked-by: Alexei Starovoitov <ast@kernel.org>
kernel/bpf/verifier.c