optee_msg_arg command dispatch

QUESTION

명령마다 매개변수를 처리하는 방법이 왜 다른가?

dispatcher 689–751 · session handlers 364–459 · SHM handlers 486–525.

STRUCTURE

하나의 switch에서 명령별 처리로 나뉜다

CALL PATH

Session 명령 네 개의 실제 차이

STATE LEDGER

명령별로 필요한 상태와 반환 위치

VISUAL WALKTHROUGH

메시지의 매개변수 배치와 두 종류의 결과

UPSTREAM SOURCE

원본 코드

아래 코드는 OP-TEE OS 4.10.0의 core/tee/entry_std.c에서 665-753줄을 그대로 가져온 것이다. 설명을 위해 실제 코드를 가짜 의사 코드로 바꾸지 않았다.

665
666out_dec_map:
667	mobj_dec_map(param.u[1].mem.mobj);
668out_cleanup:
669	cleanup_shm_refs(saved_attr, &param, num_params);
670out:
671	arg->ret = res;
672}
673
674void nsec_sessions_list_head(struct tee_ta_session_head **open_sessions)
675{
676	*open_sessions = &tee_open_sessions;
677}
678
679/* Note: this function is weak to let platforms add special handling */
680TEE_Result __weak tee_entry_std(struct optee_msg_arg *arg, uint32_t num_params)
681{
682	return __tee_entry_std(arg, num_params);
683}
684
685/*
686 * If tee_entry_std() is overridden, it's still supposed to call this
687 * function.
688 */
689TEE_Result __tee_entry_std(struct optee_msg_arg *arg, uint32_t num_params)
690{
691	TEE_Result res = TEE_SUCCESS;
692
693	/* Enable foreign interrupts for STD calls */
694	thread_set_foreign_intr(true);
695	switch (arg->cmd) {
696	case OPTEE_MSG_CMD_OPEN_SESSION:
697		entry_open_session(arg, num_params);
698		break;
699	case OPTEE_MSG_CMD_CLOSE_SESSION:
700		entry_close_session(arg, num_params);
701		break;
702	case OPTEE_MSG_CMD_INVOKE_COMMAND:
703		entry_invoke_command(arg, num_params);
704		break;
705	case OPTEE_MSG_CMD_CANCEL:
706		entry_cancel(arg, num_params);
707		break;
708#if defined(CFG_CORE_DYN_SHM) && !defined(CFG_CORE_FFA)
709	case OPTEE_MSG_CMD_REGISTER_SHM:
710		register_shm(arg, num_params);
711		break;
712	case OPTEE_MSG_CMD_UNREGISTER_SHM:
713		unregister_shm(arg, num_params);
714		break;
715#endif
716	case OPTEE_MSG_CMD_DO_BOTTOM_HALF:
717		if (IS_ENABLED(CFG_CORE_ASYNC_NOTIF))
718			notif_deliver_event(NOTIF_EVENT_DO_BOTTOM_HALF);
719		else
720			goto err;
721		break;
722	case OPTEE_MSG_CMD_STOP_ASYNC_NOTIF:
723		if (IS_ENABLED(CFG_CORE_ASYNC_NOTIF))
724			notif_deliver_event(NOTIF_EVENT_STOPPED);
725		else
726			goto err;
727		break;
728#ifdef CFG_CORE_DYN_PROTMEM
729	case OPTEE_MSG_CMD_GET_PROTMEM_CONFIG:
730		get_protmem_config(arg, num_params);
731		break;
732#ifdef CFG_CORE_FFA
733	case OPTEE_MSG_CMD_ASSIGN_PROTMEM:
734		assign_protmem(arg, num_params);
735		break;
736#else
737	case OPTEE_MSG_CMD_LEND_PROTMEM:
738		lend_protmem(arg, num_params);
739		break;
740	case OPTEE_MSG_CMD_RECLAIM_PROTMEM:
741		reclaim_protmem(arg, num_params);
742		break;
743#endif /*!CFG_CORE_FFA*/
744#endif /*CFG_CORE_DYN_PROTMEM*/
745	default:
746err:
747		EMSG("Unknown cmd 0x%x", arg->cmd);
748		res = TEE_ERROR_NOT_IMPLEMENTED;
749	}
750
751	return res;
752}
753

READING CONTRACT

발췌 범위와 읽기 기준

위 메인 발췌는 entry_std.c:665–753이며 __tee_entry_std() 본문은 689행부터다. 앞부분은 다른 함수의 끝과 weak wrapper를 포함한다. 관련 원본 두 조각은 OPEN handler 354–434와 copy_in_params() 주변 174–276이다.

원본 발췌만으로 보이지 않는 CLOSE/CANCEL, REGISTER_SHM, copy-out, cleanup 전체를 264–318, 410–525와 함께 읽는다. 모든 case가 TA manager를 호출하거나 동일한 결과 필드를 기록한다는 가정은 두지 않는다.

RELATED SOURCE

함께 읽어야 하는 원본 코드

첫 코드 조각만으로 동작이 완성되지 않는 경우 호출 매크로, 객체 정의와 실제 실행 목록을 같은 페이지에 묶었다. 각 조각은 같은 기준 commit에서 가져왔다.

354				     (void *)&params[1].u.value);
355		break;
356	default:
357		return TEE_ERROR_BAD_PARAMETERS;
358	}
359
360	*num_meta = 2;
361	return TEE_SUCCESS;
362}
363
364static void entry_open_session(struct optee_msg_arg *arg, uint32_t num_params)
365{
366	TEE_Result res = TEE_ERROR_GENERIC;
367	TEE_ErrorOrigin err_orig = TEE_ORIGIN_TEE;
368	uint32_t sess_id = 0;
369	TEE_Identity clnt_id = { };
370	TEE_UUID uuid = { };
371	struct tee_ta_param param = { };
372	size_t num_meta = 0;
373	uint64_t saved_attr[TEE_NUM_PARAMS] = { 0 };
374
375	res = get_open_session_meta(num_params, arg->params, &num_meta, &uuid,
376				    &clnt_id);
377	if (res != TEE_SUCCESS)
378		goto out;
379
380	res = copy_in_params(arg->params + num_meta, num_params - num_meta,
381			     &param, saved_attr);
382	if (res != TEE_SUCCESS)
383		goto cleanup_shm_refs;
384
385	res = tee_ta_open_session(&err_orig, &sess_id, &tee_open_sessions,
386				  &uuid, &clnt_id, TEE_TIMEOUT_INFINITE,
387				  &param);
388	if (res)
389		sess_id = 0;
390	copy_out_param(&param, num_params - num_meta, arg->params + num_meta,
391		       saved_attr);
392
393	/*
394	 * The occurrence of open/close session command is usually
395	 * un-predictable, using this property to increase randomness
396	 * of prng
397	 */
398	plat_prng_add_jitter_entropy(CRYPTO_RNG_SRC_JITTER_SESSION,
399				     &session_pnum);
400
401cleanup_shm_refs:
402	cleanup_shm_refs(saved_attr, &param, num_params - num_meta);
403
404out:
405	arg->session = sess_id;
406	arg->ret = res;
407	arg->ret_origin = err_orig;
408}
409
410static void entry_close_session(struct optee_msg_arg *arg, uint32_t num_params)
411{
412	TEE_Result res = TEE_SUCCESS;
413
414	if (num_params) {
415		res = TEE_ERROR_BAD_PARAMETERS;
416		goto out;
417	}
418
419	plat_prng_add_jitter_entropy(CRYPTO_RNG_SRC_JITTER_SESSION,
420				     &session_pnum);
421
422	res = tee_ta_close_session(arg->session, &tee_open_sessions,
423				   NSAPP_IDENTITY);
424out:
425	arg->ret = res;
426	arg->ret_origin = TEE_ORIGIN_TEE;
427}
428
429static void entry_invoke_command(struct optee_msg_arg *arg, uint32_t num_params)
430{
431	TEE_Result res;
432	TEE_ErrorOrigin err_orig = TEE_ORIGIN_TEE;
433	struct tee_ta_session *s;
434	struct tee_ta_param param = { 0 };

174	 */
175	if (ADD_OVERFLOW(mem->offs, mem->size, &req_size) ||
176	    mem->mobj->size < req_size)
177		return TEE_ERROR_SECURITY;
178
179	return TEE_SUCCESS;
180}
181#endif /*CFG_CORE_DYN_SHM*/
182#endif /*!CFG_CORE_FFA*/
183
184static TEE_Result copy_in_params(const struct optee_msg_param *params,
185				 uint32_t num_params,
186				 struct tee_ta_param *ta_param,
187				 uint64_t *saved_attr)
188{
189	TEE_Result res;
190	size_t n;
191	uint8_t pt[TEE_NUM_PARAMS] = { 0 };
192
193	if (num_params > TEE_NUM_PARAMS)
194		return TEE_ERROR_BAD_PARAMETERS;
195
196	memset(ta_param, 0, sizeof(*ta_param));
197
198	for (n = 0; n < num_params; n++) {
199		uint32_t attr;
200
201		saved_attr[n] = READ_ONCE(params[n].attr);
202
203		if (saved_attr[n] & OPTEE_MSG_ATTR_META)
204			return TEE_ERROR_BAD_PARAMETERS;
205
206		attr = saved_attr[n] & OPTEE_MSG_ATTR_TYPE_MASK;
207		switch (attr) {
208		case OPTEE_MSG_ATTR_TYPE_NONE:
209			pt[n] = TEE_PARAM_TYPE_NONE;
210			break;
211		case OPTEE_MSG_ATTR_TYPE_VALUE_INPUT:
212		case OPTEE_MSG_ATTR_TYPE_VALUE_OUTPUT:
213		case OPTEE_MSG_ATTR_TYPE_VALUE_INOUT:
214			pt[n] = TEE_PARAM_TYPE_VALUE_INPUT + attr -
215				OPTEE_MSG_ATTR_TYPE_VALUE_INPUT;
216			ta_param->u[n].val.a = READ_ONCE(params[n].u.value.a);
217			ta_param->u[n].val.b = READ_ONCE(params[n].u.value.b);
218			break;
219#ifdef CFG_CORE_FFA
220		case OPTEE_MSG_ATTR_TYPE_FMEM_INPUT:
221		case OPTEE_MSG_ATTR_TYPE_FMEM_OUTPUT:
222		case OPTEE_MSG_ATTR_TYPE_FMEM_INOUT:
223			res = set_fmem_param(&params[n].u.fmem,
224					     &ta_param->u[n].mem);
225			if (res)
226				return res;
227			pt[n] = TEE_PARAM_TYPE_MEMREF_INPUT + attr -
228				OPTEE_MSG_ATTR_TYPE_FMEM_INPUT;
229			break;
230#else /*!CFG_CORE_FFA*/
231		case OPTEE_MSG_ATTR_TYPE_TMEM_INPUT:
232		case OPTEE_MSG_ATTR_TYPE_TMEM_OUTPUT:
233		case OPTEE_MSG_ATTR_TYPE_TMEM_INOUT:
234			res = set_tmem_param(&params[n].u.tmem, saved_attr[n],
235					     &ta_param->u[n].mem);
236			if (res)
237				return res;
238			pt[n] = TEE_PARAM_TYPE_MEMREF_INPUT + attr -
239				OPTEE_MSG_ATTR_TYPE_TMEM_INPUT;
240			break;
241#ifdef CFG_CORE_DYN_SHM
242		case OPTEE_MSG_ATTR_TYPE_RMEM_INPUT:
243		case OPTEE_MSG_ATTR_TYPE_RMEM_OUTPUT:
244		case OPTEE_MSG_ATTR_TYPE_RMEM_INOUT:
245			res = set_rmem_param(&params[n].u.rmem,
246					     &ta_param->u[n].mem);
247			if (res)
248				return res;
249			pt[n] = TEE_PARAM_TYPE_MEMREF_INPUT + attr -
250				OPTEE_MSG_ATTR_TYPE_RMEM_INPUT;
251			break;
252#endif /*CFG_CORE_DYN_SHM*/
253#endif /*!CFG_CORE_FFA*/
254		default:
255			return TEE_ERROR_BAD_PARAMETERS;
256		}
257	}
258
259	ta_param->types = TEE_PARAM_TYPES(pt[0], pt[1], pt[2], pt[3]);
260
261	return TEE_SUCCESS;
262}
263
264static void cleanup_shm_refs(const uint64_t *saved_attr,
265			     struct tee_ta_param *param, uint32_t num_params)
266{
267	size_t n;
268
269	for (n = 0; n < MIN((unsigned int)TEE_NUM_PARAMS, num_params); n++) {
270		switch (saved_attr[n]) {
271		case OPTEE_MSG_ATTR_TYPE_TMEM_INPUT:
272		case OPTEE_MSG_ATTR_TYPE_TMEM_OUTPUT:
273		case OPTEE_MSG_ATTR_TYPE_TMEM_INOUT:
274#ifdef CFG_CORE_DYN_SHM
275		case OPTEE_MSG_ATTR_TYPE_RMEM_INPUT:
276		case OPTEE_MSG_ATTR_TYPE_RMEM_OUTPUT:

DETAILS

분기마다 다른 검증·자원 경계

entry_std.c 327–525.

IMPLEMENTATION NOTES

parameter 변환을 모든 명령에 대입하지 않기

optee_msg.h의 FMEM/RMEM 별칭과 size 배치 · 참조 정리와 출력 복사.

entry_std.c 101–318.

OBJECT LIFETIME

각 분기가 소유하는 상태

FAILURE PATH

어느 분기가 먼저 거절하는가?

이 표는 실제 반환 조건을 보여 준다. 모든 실패를 ‘cleanup 중복으로 UAF’로 묶는 진단은 이 코드로 뒷받침되지 않는다.

EVIDENCE

대상 빌드에서 대조할 자료

이 리뷰는 소스와 로컬 페이지를 검증했으며 OP-TEE를 새로 빌드하거나 보드에서 실행하지 않았다.

LAB

분기별 최소 검증

1. 01
   OPEN과 INVOKE의 차이

   OPEN의 두 meta attr를 바꾸거나 남은 TA params를 5개로 만들어 BAD_PARAMETERS 경계를 확인한다. INVOKE에는 meta를 넣어 별도로 비교한다.

2. 02
   설정에 따른 SHM case

   DYN_SHM/FFA 빌드 조합에서 REGISTER_SHM case의 존재와 한 개 parameter 계약을 확인한다.

3. 03
   두 반환값

   알 수 없는 cmd와 알려진 cmd의 handler 오류를 각각 넣어 dispatcher 반환, arg->ret, ret_origin을 독립 기록한다.

PRIMARY REFERENCES

원문과 다음 글