mm/usercopy: use memory range to be accessed for wraparound check
authorIsaac J. Manjarres <>
Tue, 13 Aug 2019 22:37:37 +0000 (15:37 -0700)
committerLinus Torvalds <>
Tue, 13 Aug 2019 23:06:52 +0000 (16:06 -0700)
Currently, when checking to see if accessing n bytes starting at address
"ptr" will cause a wraparound in the memory addresses, the check in
check_bogus_address() adds an extra byte, which is incorrect, as the
range of addresses that will be accessed is [ptr, ptr + (n - 1)].

This can lead to incorrectly detecting a wraparound in the memory
address, when trying to read 4 KB from memory that is mapped to the the
last possible page in the virtual address space, when in fact, accessing
that range of memory would not cause a wraparound to occur.

Use the memory range that will actually be accessed when considering if
accessing a certain amount of bytes will cause the memory address to
wrap around.

Fixes: f5509cc18daa ("mm: Hardened usercopy")
Signed-off-by: Prasad Sodagudi <>
Signed-off-by: Isaac J. Manjarres <>
Co-developed-by: Prasad Sodagudi <>
Reviewed-by: William Kucharski <>
Acked-by: Kees Cook <>
Cc: Greg Kroah-Hartman <>
Cc: Trilok Soni <>
Cc: <>
Signed-off-by: Andrew Morton <>
Signed-off-by: Linus Torvalds <>

index 2a09796..98e9248 100644 (file)
@@ -147,7 +147,7 @@ static inline void check_bogus_address(const unsigned long ptr, unsigned long n,
                                       bool to_user)
        /* Reject if object wraps past end of memory. */
-       if (ptr + n < ptr)
+       if (ptr + (n - 1) < ptr)
                usercopy_abort("wrapped address", NULL, to_user, 0, ptr + n);
        /* Reject if NULL or ZERO-allocation. */