Ubuntu
php-imap package

php5 crashed with SIGSEGV in memcpy()

Bug #617849 reported by Volodymyr Kolesnykov
12
This bug affects 1 person
Affects Status Importance Assigned to Milestone
php-imap (Ubuntu)
Invalid
Medium
Unassigned

Bug Description

Binary package hint: php5

$ lsb_release -rd
Description: Ubuntu 10.04.1 LTS
Release: 10.04

$ LC_ALL=C apt-cache policy php5
php5:
  Installed: (none)
  Candidate: 5.3.2-1ubuntu4.2
  Version table:
     5.3.2-1ubuntu4.2 0
        500 http://ua.archive.ubuntu.com/ubuntu/ lucid-updates/main Packages
     5.3.2-1ubuntu4 0
        500 http://ua.archive.ubuntu.com/ubuntu/ lucid/main Packages

The script seems to crash on imap_fetchbody().

Will try to produce a minimal test case.

ProblemType: Crash
DistroRelease: Ubuntu 10.04
Package: php5-cli 5.3.2-1ubuntu4.2
ProcVersionSignature: Ubuntu 2.6.32-24.39-server 2.6.32.15+drm33.5
Uname: Linux 2.6.32-24-server x86_64
NonfreeKernelModules: fglrx
Architecture: amd64
CrashCounter: 1
Date: Sat Aug 14 17:12:50 2010
ExecutablePath: /usr/bin/php5
ProcCmdline: php parse.php
ProcEnviron:
 SHELL=/bin/bash
 LANG=ru_RU.UTF-8
 LANGUAGE=ru_RU:ru
SegvAnalysis:
 Segfault happened at: 0x7f0a2e6ccefa <memcpy+666>: mov 0x30(%rsi),%r13
 PC (0x7f0a2e6ccefa) ok
 source "0x30(%rsi)" (0x7f0a2b600000) in non-readable VMA region: 0x7f0a2b600000-0x7f0a2b800000 ---p /usr/lib/libc-client.so.2007e.0
 destination "%r13" ok
SegvReason: reading VMA /usr/lib/libc-client.so.2007e.0
Signal: 11
SourcePackage: php5
StacktraceTop:
 memcpy () at ../sysdeps/x86_64/memcpy.S:398
 _estrndup (s=0x7f0a2b5f2f4e "", length=676989824) at /usr/include/bits/string3.h:52
 zif_imap_fetchbody () from /usr/lib/php5/20090626/imap.so
 zend_do_fcall_common_helper_SPEC (execute_data=0x7f0a2850f0a0) at /build/buildd/php5-5.3.2/Zend/zend_vm_execute.h:313
 execute (op_array=0x7f0a31361b58) at /build/buildd/php5-5.3.2/Zend/zend_vm_execute.h:104
Title: php5 crashed with SIGSEGV in memcpy()
UserGroups: adm admin cdrom dialout lpadmin plugdev sambashare vboxusers

See original description

Related branches

lp:~sjinks/+junk/php-imap
Revision history for this message
Volodymyr Kolesnykov (sjinks) wrote :
visibility: private → public
Volodymyr Kolesnykov (sjinks)
description: updated
Revision history for this message
Volodymyr Kolesnykov (sjinks) wrote :

The problem seems to be either in php5-imap or libc-client2007e-dev.

Due to a bug, my script passes invalid $section value to imap_fetchbody(), something like:

imap_fetchbody($imap_handle, $message_number, "3.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.0");

That extra-long section number crashes php.

Crash happens in php_imap.c on line

RETVAL_STRINGL(body, len, 1);

in imap_fetchbody function.

Revision history for this message
Volodymyr Kolesnykov (sjinks) wrote :
Download full text (4.3 KiB)

I have added

printf("body=%p, len=%ld\n", body, len);

before

RETVAL_STRINGL(body, len, 1);

and got very interesting results:

body=0x7ff23a0d8f4e, len=0
3.1
...
body=0x7ff23a0d8f4e, len=0
3.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1
body=0x7ff23a0d8f4e, len=0
3.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.0
body=0x7ff23a0d8f4e, len=0
3.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1....

Read more...

Revision history for this message
Volodymyr Kolesnykov (sjinks) wrote :

Finally got it.

The problem is that mail_fetch_body() function from uw-imap-2007e~dfsg/src/c-client/mail.c can return an empty string without setting len to zero:

  if (!(section && *section))<->/* top-level text wanted? */
    return mail_fetch_message (stream,msgno,len,flags);
  else if (strlen (section) > (MAILTMPLEN - 20)) return "";

MAILTMPLEN is #define'd to be 1024, the length of that long section name is 1005 characters (1005+20 > 1024).

Thus strlen (section) > (MAILTMPLEN - 20) condition is true and the empty string is returned. But len is not zeroed.

The quickest workaround is to set len to zero (in pgp5_imap) before passing it to mail_fetch_body().

Revision history for this message
Volodymyr Kolesnykov (sjinks) wrote :

Quick fix — explicilty set len to zero before passing it to mail_fetchbody_full()

Revision history for this message
Volodymyr Kolesnykov (sjinks) wrote :

See also Bug #617876

Brian Murray (brian-murray)
tags: added: patch
Volodymyr Kolesnykov (sjinks)
affects: php5 (Ubuntu) → php-imap (Ubuntu)
Revision history for this message
Apport retracing service (apport) wrote :

StacktraceTop:
 memcpy () from /lib/libc.so.6
 _estrndup ()
 zif_imap_fetchbody (ht=3,
 ?? ()
 execute ()

Revision history for this message
Apport retracing service (apport) wrote : Stacktrace.txt
Revision history for this message
Apport retracing service (apport) wrote : ThreadStacktrace.txt
Changed in php-imap (Ubuntu):
importance: Undecided → Medium
tags: removed: need-amd64-retrace
Revision history for this message
dino99 (9d9) wrote :

This version is outdated and no more supported

Changed in php-imap (Ubuntu):
status: New → Invalid
To post a comment you must log in.
This report contains Public information  
Everyone can see this information.
Subscribing...

Other bug subscribers

Remote bug watches

Bug watches keep track of this bug in other bug trackers.