bpftool: batch 模式长度检查可被注释绕过，超长批处理行的残留部分被当作独立命令执行（待 backport 上游 fc2a7f5）-bpftool-AtomGit

Closed

bpftool: batch 模式长度检查可被注释绕过，超长批处理行的残留部分被当作独立命令执行（待 backport 上游 fc2a7f5） #252

Lei-ChenAdd on 9 days agoClosed at 5 days ago

9 days ago Create

问题描述

bpftool batch file <FILE> 的 do_batch() 在读取批处理行后，先截断 # 之后的注释内容，再用 strlen(buf) == sizeof(buf) - 1 判断该行是否填满了 65536 字节的缓冲区：

while (fgets(buf, sizeof(buf), fp)) {
        cp = strchr(buf, '#');
        if (cp)
                *cp = '\0';          /* 先截断注释 */

        if (strlen(buf) == sizeof(buf) - 1) {   /* 后做长度检查 */
                errno = E2BIG;
                break;
        }

因此，当一行长度超过缓冲区、且前 65535 字节内出现 # 时，截断会让 strlen(buf) 变小，长度检查被绕过。该行未被 fgets() 读走的剩余部分仍留在文件流中，下一轮循环会把它当作一条独立命令解析并执行。续行（行尾 \）路径同理：超长的续行含 # 时绕过 command is too long 检查，其残留部分同样会被执行。

影响：批处理文件的行长校验形同虚设，操作者/上层工具以为已通过限制（例如对拼接内容做长度截断、把用户可控文本写进 batch 文件）的输入，其尾部会被 bpftool 当作新的子命令执行，属于输入校验绕过导致的非预期命令执行。

影响范围

bpftool 7.2.0（openEuler openEuler-24.03-LTS*、openEuler-26.09、master 等仍为 7.2.0 的分支）
触发条件：使用 bpftool batch file，且批处理文件中存在 >65535 字节、且在缓冲区范围内含 # 的行（或同类续行）
现有 Patch0–Patch3 只涉及 perf_event/libbpf 兼容，未触及 src/main.c

复现（7.2.0 基线，已本地构建验证）

构造批处理文件：第一行 version# + 65527 个 x + version（总长 65543 字节，# 位于第 8 字节）。

$ bpftool batch file poc-batch.txt
bpftool v7.2.0
using libbpf v1.2
features:
bpftool v7.2.0          <-- 残留部分被当作第二条命令执行
using libbpf v1.2
features:
processed 2 commands
$ echo $?
0

超长续行（第一行 vers\，第二行 # + 65527 个 x + versionversion）同样可复现：

$ bpftool batch file poc-batch-cont.txt
... 同上，version 被打印两次，processed 2 commands

修复

把两处长度检查移到注释截断之前，使检查看到的是 fgets() 实际读入的完整内容；恰好填满缓冲区的行也一并拒绝（批处理命令行远离该上限，无兼容性影响）。

上游提交：https://github.com/libbpf/bpftool/commit/fc2a7f540f9df19851fce2328bab4283da830af7

修复后行为（同一 PoC）：

$ bpftool batch file poc-batch.txt
Error: reading batch file failed: Argument list too long        (exit 255)
$ bpftool batch file poc-batch-cont.txt
Error: command 0 is too long                                   (exit 255)

正常批处理（普通行、行尾注释、整行注释、续行）行为不变：processed 3 commands，退出码 0。

openEuler 侧进展

已按 openEuler backport 规范生成源码补丁 backport-fix-batch-line-length-check-bypass.patch（新增 Patch4、Release +1、%changelog 登记），并在以下分支验证整条补丁链可 -F0 干净应用、构建通过、PoC 由“执行残留命令”变为“拒绝超长行”：

openEuler-24.03-LTS-SP3（Release 7.2.0-2）
openEuler-26.09（Release 7.2.0-3）
master（Release 7.2.0-3）

其余 24.03 兄弟分支（LTS / -Next / SP1 / SP2 / SP4）版本与补丁链一致，确认同样受影响，将通过代表 PR 的 /sync 同步。

是否 CVE

上游未为此提交分配 CVE，属普通缺陷/安全加固修复，故按「缺陷」跟踪，不使用 CVE/UNFIXED 标签。

二、缺陷分析结构反馈
影响性分析说明：

缺陷严重等级:(Critical/High/Moderate/Low)

缺陷根因说明:

受影响版本排查(受影响/不受影响):
openEuler-20.03-LTS-SP4
openEuler-22.03-LTS-SP4
openEuler-24.03-LTS-SP1
openEuler-24.03-LTS-SP3
openEuler-24.03-LTS-SP4

修复是否涉及abi变化(是/否):
openEuler-20.03-LTS-SP4
openEuler-22.03-LTS-SP4
openEuler-24.03-LTS-SP1
openEuler-24.03-LTS-SP3
openEuler-24.03-LTS-SP4

L Lei-Chen

9 days ago changed custom category from 任务 to 缺陷

指令	指令说明	使用权限
/check-issue	触发defect-manager校验	不限
/reason xxx	/reason +挂起或取消条件	不限

状态	需分析	内容
已分析	1.影响性分析说明	bpftool的do_batch()在检查fgets()行长限制之前先按'#'截断注释；超长批处理行（或续行）在前65535字节内出现'#'时可绕过长度检查，未读取的行尾会被当作下一条bpftool子命令解析执行。
已分析	2.缺陷严重等级	Moderate
已分析	3.缺陷根因定位	注释截断发生在行长校验之前，导致长度检查基于被截断的短行，剩余尾部被后续解析。
已分析	4.受影响版本排查	openEuler-20.03-LTS-SP4:受影响,openEuler-22.03-LTS-SP4:受影响,openEuler-24.03-LTS:受影响,openEuler-24.03-LTS-Next:受影响,openEuler-24.03-LTS-SP1:受影响,openEuler-24.03-LTS-SP2:受影响,openEuler-24.03-LTS-SP3:受影响,openEuler-24.03-LTS-SP4:受影响,openEuler-26.09:受影响
已分析	5.abi变化	openEuler-20.03-LTS-SP4:否,openEuler-22.03-LTS-SP4:否,openEuler-24.03-LTS:否,openEuler-24.03-LTS-Next:否,openEuler-24.03-LTS-SP1:否,openEuler-24.03-LTS-SP2:否,openEuler-24.03-LTS-SP3:否,openEuler-24.03-LTS-SP4:否,openEuler-26.09:否

问题描述

影响范围

复现（7.2.0 基线，已本地构建验证）

修复

openEuler 侧进展

是否 CVE

Welcome To openEuler Community

Bot Usage Manual

Contact Guide

Notice