【runtime】TPRT-003: CQ 报告接收接口缓冲区越界写入

基本信息

漏洞描述

TprtCqHandleGetCqe 函数将内部完成队列（CQ）中的 CQE 报告条目写入用户提供的缓冲区 cqeAddr。循环写入的数量由 min(队列可用条目数, cqeInfo->cqeNum) 决定。

核心问题：cqeNum 完全由用户控制，API 仅验证其非零（cqeNum != 0）和缓冲区指针非空（cqeAddr != nullptr），但从未验证 cqeAddr 指向的缓冲区实际大小是否能容纳 cqeNum 个 TprtCqeReport_t 结构体。

攻击者可声明一个较大的 cqeNum（如 1024），同时提供一个远小于所需空间的缓冲区。当内部队列中存在足够多的待报告 CQE 时，函数将向缓冲区写入超出其边界的数据，造成堆或栈缓冲区溢出。

漏洞代码

文件: src/tprt/feature/src/tprt_cqhandle.cc，第 60-78 行

void TprtCqHandle::TprtCqHandleGetCqe(TprtReportCqeInfo_t* cqeInfo)
{
    uint16_t cqTail = cqTail_.load();
    uint16_t cqHead = cqHead_.load();
    if (cqTail == cqHead) {
        cqeInfo->reportCqeNum = 0U;
        return;
    }
    const uint32_t queueDepth = TprtManage::Instance()->TprtGetSqMaxDepth();
    uint32_t reportCqeNum = 0U;
    const std::lock_guard<std::mutex> lock(cqQueueLock_);
    while ((cqHead != cqTail) && (reportCqeNum < cqeInfo->cqeNum)) {
        // 漏洞点：未验证 cqeAddr 缓冲区是否能容纳 reportCqeNum+1 个元素
        (TprtPtrToPtr<TprtCqeReport_t*>(cqeInfo->cqeAddr))[reportCqeNum] = cqQueue_[cqHead];
        ++reportCqeNum;
        cqHead = (cqHead + 1U) % queueDepth;
    }
    cqeInfo->reportCqeNum = reportCqeNum;
    cqHead_.store(cqHead);
}

数据流分析

用户应用
  │
  ├─ 构造 TprtReportCqeInfo_t:
  │    ├─ cqeAddr = 用户分配的缓冲区指针（大小未知）
  │    ├─ cqeNum  = 用户声明的期望 CQE 数量（可任意设置）
  │    └─ type    = TPRT_QUERY_CQ_INFO
  │
  ▼
TprtCqReportRecv(devId, cqeInfo)          [tprt_api.cc:167]
  │
  ├─ 检查: cqeInfo != nullptr              ✓ 通过
  ├─ 检查: cqeInfo->cqeNum != 0            ✓ 通过（但不检查上限）
  ├─ 检查: cqeInfo->cqeAddr != nullptr     ✓ 通过（但不检查缓冲区大小）
  ├─ 检查: cqeInfo->type == TPRT_QUERY_CQ_INFO  ✓ 通过
  ├─ 检查: devId 有效                       ✓ 通过
  ├─ 检查: cqId 对应 cqHandle 存在          ✓ 通过
  │
  ▼
TprtCqHandleGetCqe(cqeInfo)               [tprt_cqhandle.cc:60]
  │
  ├─ 循环条件: cqHead != cqTail && reportCqeNum < cqeInfo->cqeNum
  │
  ▼
越界写入: cqeAddr[reportCqeNum] = cqQueue_[cqHead]   ← 漏洞点
  │  reportCqeNum 可增长至 min(队列可用数, cqeNum)
  │  若 cqeNum > 缓冲区实际容量 / sizeof(TprtCqeReport_t)，则越界

攻击场景

前置条件

1. 攻击者能调用 TprtCqReportRecv 公开 API
2. 内部 CQ 队列中存在待报告的 CQE 条目（通过先前提交的任务产生）

攻击步骤

1. 攻击者分配一个较小的缓冲区，例如仅能容纳 2 个 TprtCqeReport_t（约 28 字节）
2. 构造 TprtReportCqeInfo_t，设置 cqeAddr 指向该小缓冲区，cqeNum = 1024
3. 调用 TprtCqReportRecv
4. 若内部队列有 N 个待报告 CQE（N > 2），函数将写入 N 个 CQE 条目，超出缓冲区边界 (N-2) × 14 字节

影响

• 最大越界写入量: 内部队列最大深度为 SQCQ_MAX_DEPTH = 1024，每个 TprtCqeReport_t 为 14 字节（packed），最大可越界写入约 14,308 字节
• 写入内容: 内部 CQE 报告数据（taskSn, errorCode, errorType, sqeType, sqId, sqHead），非攻击者直接可控内容
• 潜在利用: 虽然写入内容非直接可控，但越界写入可覆盖相邻内存中的对象指针、返回地址或关键数据结构，可能导致代码执行

现有缓解措施

缺失的关键检查: 无 cqeNum 上限验证，无缓冲区大小验证。

置信度评分明细

{
  "id": "TPRT-003",
  "confidence": 75,
  "status": "LIKELY",
  "veto_applied": false,
  "scoring_details": {
    "base": 30,
    "reachability": 30,
    "controllability": 25,
    "mitigations": -10,
    "context": 0,
    "cross_file": 0
  }
}

修复建议

在 TprtCqReportRecv（API 入口层）添加 cqeNum 上限验证：

// tprt_api.cc - TprtCqReportRecv 函数中，在现有检查之后添加：
if (cqeInfo->cqeNum > SQCQ_MAX_DEPTH) {
    TPRT_LOG(TPRT_LOG_ERROR, "cqeNum[%u] exceeds max depth[%u], device_id=%u.",
             cqeInfo->cqeNum, SQCQ_MAX_DEPTH, devId);
    return TPRT_INPUT_INVALID;
}

此修复将 cqeNum 限制在队列最大深度范围内。由于调用方按约定应分配至少 cqeNum * sizeof(TprtCqeReport_t) 大小的缓冲区，限制 cqeNum 上限可确保写入量不会超过合理预期。

注意: 从根本上讲，C API 无法从裸指针推断缓冲区实际大小。最安全的做法是在 API 文档中明确要求调用方保证 cqeAddr 缓冲区大小 ≥ cqeNum * sizeof(TprtCqeReport_t)，并配合 cqeNum 上限检查作为纵深防御。