kernel/livepatch/core.c

   1 // SPDX-License-Identifier: GPL-2.0-or-later
   2 /*
   3  * core.c - Kernel Live Patching Core
   4  *
   5  * Copyright (C) 2014 Seth Jennings <sjenning@redhat.com>
   6  * Copyright (C) 2014 SUSE
   7  */
   8
   9 #define pr_fmt(fmt) KBUILD_MODNAME ": " fmt
  10
  11 #include <linux/module.h>
  12 #include <linux/kernel.h>
  13 #include <linux/mutex.h>
  14 #include <linux/slab.h>
  15 #include <linux/list.h>
  16 #include <linux/kallsyms.h>
  17 #include <linux/livepatch.h>
  18 #include <linux/elf.h>
  19 #include <linux/moduleloader.h>
  20 #include <linux/completion.h>
  21 #include <linux/memory.h>
  22 #include <linux/rcupdate.h>
  23 #include <asm/cacheflush.h>
  24 #include "core.h"
  25 #include "patch.h"
  26 #include "state.h"
  27 #include "transition.h"
  28
  29 /*
  30  * klp_mutex is a coarse lock which serializes access to klp data.  All
  31  * accesses to klp-related variables and structures must have mutex protection,
  32  * except within the following functions which carefully avoid the need for it:
  33  *
  34  * - klp_ftrace_handler()
  35  * - klp_update_patch_state()
  36  */
  37 DEFINE_MUTEX(klp_mutex);
  38
  39 /*
  40  * Actively used patches: enabled or in transition. Note that replaced
  41  * or disabled patches are not listed even though the related kernel
  42  * module still can be loaded.
  43  */
  44 LIST_HEAD(klp_patches);
  45
  46 static struct kobject *klp_root_kobj;
  47
  48 static bool klp_is_module(struct klp_object *obj)
  49 {
  50         return obj->name;
  51 }
  52
  53 /* sets obj->mod if object is not vmlinux and module is found */
  54 static void klp_find_object_module(struct klp_object *obj)
  55 {
  56         struct module *mod;
  57
  58         if (!klp_is_module(obj))
  59                 return;
  60
  61         rcu_read_lock_sched();
  62         /*
  63          * We do not want to block removal of patched modules and therefore
  64          * we do not take a reference here. The patches are removed by
  65          * klp_module_going() instead.
  66          */
  67         mod = find_module(obj->name);
  68         /*
  69          * Do not mess work of klp_module_coming() and klp_module_going().
  70          * Note that the patch might still be needed before klp_module_going()
  71          * is called. Module functions can be called even in the GOING state
  72          * until mod->exit() finishes. This is especially important for
  73          * patches that modify semantic of the functions.
  74          */
  75         if (mod && mod->klp_alive)
  76                 obj->mod = mod;
  77
  78         rcu_read_unlock_sched();
  79 }
  80
  81 static bool klp_initialized(void)
  82 {
  83         return !!klp_root_kobj;
  84 }
  85
  86 static struct klp_func *klp_find_func(struct klp_object *obj,
  87                                       struct klp_func *old_func)
  88 {
  89         struct klp_func *func;
  90
  91         klp_for_each_func(obj, func) {
  92                 if ((strcmp(old_func->old_name, func->old_name) == 0) &&
  93                     (old_func->old_sympos == func->old_sympos)) {
  94                         return func;
  95                 }
  96         }
  97
  98         return NULL;
  99 }
 100
 101 static struct klp_object *klp_find_object(struct klp_patch *patch,
 102                                           struct klp_object *old_obj)
 103 {
 104         struct klp_object *obj;
 105
 106         klp_for_each_object(patch, obj) {
 107                 if (klp_is_module(old_obj)) {
 108                         if (klp_is_module(obj) &&
 109                             strcmp(old_obj->name, obj->name) == 0) {
 110                                 return obj;
 111                         }
 112                 } else if (!klp_is_module(obj)) {
 113                         return obj;
 114                 }
 115         }
 116
 117         return NULL;
 118 }
 119
 120 struct klp_find_arg {
 121         const char *objname;
 122         const char *name;
 123         unsigned long addr;
 124         unsigned long count;
 125         unsigned long pos;
 126 };
 127
 128 static int klp_find_callback(void *data, const char *name,
 129                              struct module *mod, unsigned long addr)
 130 {
 131         struct klp_find_arg *args = data;
 132
 133         if ((mod && !args->objname) || (!mod && args->objname))
 134                 return 0;
 135
 136         if (strcmp(args->name, name))
 137                 return 0;
 138
 139         if (args->objname && strcmp(args->objname, mod->name))
 140                 return 0;
 141
 142         args->addr = addr;
 143         args->count++;
 144
 145         /*
 146          * Finish the search when the symbol is found for the desired position
 147          * or the position is not defined for a non-unique symbol.
 148          */
 149         if ((args->pos && (args->count == args->pos)) ||
 150             (!args->pos && (args->count > 1)))
 151                 return 1;
 152
 153         return 0;
 154 }
 155
 156 static int klp_find_object_symbol(const char *objname, const char *name,
 157                                   unsigned long sympos, unsigned long *addr)
 158 {
 159         struct klp_find_arg args = {
 160                 .objname = objname,
 161                 .name = name,
 162                 .addr = 0,
 163                 .count = 0,
 164                 .pos = sympos,
 165         };
 166
 167         mutex_lock(&module_mutex);
 168         if (objname)
 169                 module_kallsyms_on_each_symbol(klp_find_callback, &args);
 170         else
 171                 kallsyms_on_each_symbol(klp_find_callback, &args);
 172         mutex_unlock(&module_mutex);
 173
 174         /*
 175          * Ensure an address was found. If sympos is 0, ensure symbol is unique;
 176          * otherwise ensure the symbol position count matches sympos.
 177          */
 178         if (args.addr == 0)
 179                 pr_err("symbol '%s' not found in symbol table\n", name);
 180         else if (args.count > 1 && sympos == 0) {
 181                 pr_err("unresolvable ambiguity for symbol '%s' in object '%s'\n",
 182                        name, objname);
 183         } else if (sympos != args.count && sympos > 0) {
 184                 pr_err("symbol position %lu for symbol '%s' in object '%s' not found\n",
 185                        sympos, name, objname ? objname : "vmlinux");
 186         } else {
 187                 *addr = args.addr;
 188                 return 0;
 189         }
 190
 191         *addr = 0;
 192         return -EINVAL;
 193 }
 194
 195 static int klp_resolve_symbols(Elf64_Shdr *sechdrs, const char *strtab,
 196                                unsigned int symndx, Elf_Shdr *relasec,
 197                                const char *sec_objname)
 198 {
 199         int i, cnt, ret;
 200         char sym_objname[MODULE_NAME_LEN];
 201         char sym_name[KSYM_NAME_LEN];
 202         Elf_Rela *relas;
 203         Elf_Sym *sym;
 204         unsigned long sympos, addr;
 205         bool sym_vmlinux;
 206         bool sec_vmlinux = !strcmp(sec_objname, "vmlinux");
 207
 208         /*
 209          * Since the field widths for sym_objname and sym_name in the sscanf()
 210          * call are hard-coded and correspond to MODULE_NAME_LEN and
 211          * KSYM_NAME_LEN respectively, we must make sure that MODULE_NAME_LEN
 212          * and KSYM_NAME_LEN have the values we expect them to have.
 213          *
 214          * Because the value of MODULE_NAME_LEN can differ among architectures,
 215          * we use the smallest/strictest upper bound possible (56, based on
 216          * the current definition of MODULE_NAME_LEN) to prevent overflows.
 217          */
 218         BUILD_BUG_ON(MODULE_NAME_LEN < 56 || KSYM_NAME_LEN != 128);
 219
 220         relas = (Elf_Rela *) relasec->sh_addr;
 221         /* For each rela in this klp relocation section */
 222         for (i = 0; i < relasec->sh_size / sizeof(Elf_Rela); i++) {
 223                 sym = (Elf64_Sym *)sechdrs[symndx].sh_addr + ELF_R_SYM(relas[i].r_info);
 224                 if (sym->st_shndx != SHN_LIVEPATCH) {
 225                         pr_err("symbol %s is not marked as a livepatch symbol\n",
 226                                strtab + sym->st_name);
 227                         return -EINVAL;
 228                 }
 229
 230                 /* Format: .klp.sym.sym_objname.sym_name,sympos */
 231                 cnt = sscanf(strtab + sym->st_name,
 232                              ".klp.sym.%55[^.].%127[^,],%lu",
 233                              sym_objname, sym_name, &sympos);
 234                 if (cnt != 3) {
 235                         pr_err("symbol %s has an incorrectly formatted name\n",
 236                                strtab + sym->st_name);
 237                         return -EINVAL;
 238                 }
 239
 240                 sym_vmlinux = !strcmp(sym_objname, "vmlinux");
 241
 242                 /*
 243                  * Prevent module-specific KLP rela sections from referencing
 244                  * vmlinux symbols.  This helps prevent ordering issues with
 245                  * module special section initializations.  Presumably such
 246                  * symbols are exported and normal relas can be used instead.
 247                  */
 248                 if (!sec_vmlinux && sym_vmlinux) {
 249                         pr_err("invalid access to vmlinux symbol '%s' from module-specific livepatch relocation section",
 250                                sym_name);
 251                         return -EINVAL;
 252                 }
 253
 254                 /* klp_find_object_symbol() treats a NULL objname as vmlinux */
 255                 ret = klp_find_object_symbol(sym_vmlinux ? NULL : sym_objname,
 256                                              sym_name, sympos, &addr);
 257                 if (ret)
 258                         return ret;
 259
 260                 sym->st_value = addr;
 261         }
 262
 263         return 0;
 264 }
 265
 266 /*
 267  * At a high-level, there are two types of klp relocation sections: those which
 268  * reference symbols which live in vmlinux; and those which reference symbols
 269  * which live in other modules.  This function is called for both types:
 270  *
 271  * 1) When a klp module itself loads, the module code calls this function to
 272  *    write vmlinux-specific klp relocations (.klp.rela.vmlinux.* sections).
 273  *    These relocations are written to the klp module text to allow the patched
 274  *    code/data to reference unexported vmlinux symbols.  They're written as
 275  *    early as possible to ensure that other module init code (.e.g.,
 276  *    jump_label_apply_nops) can access any unexported vmlinux symbols which
 277  *    might be referenced by the klp module's special sections.
 278  *
 279  * 2) When a to-be-patched module loads -- or is already loaded when a
 280  *    corresponding klp module loads -- klp code calls this function to write
 281  *    module-specific klp relocations (.klp.rela.{module}.* sections).  These
 282  *    are written to the klp module text to allow the patched code/data to
 283  *    reference symbols which live in the to-be-patched module or one of its
 284  *    module dependencies.  Exported symbols are supported, in addition to
 285  *    unexported symbols, in order to enable late module patching, which allows
 286  *    the to-be-patched module to be loaded and patched sometime *after* the
 287  *    klp module is loaded.
 288  */
 289 int klp_apply_section_relocs(struct module *pmod, Elf_Shdr *sechdrs,
 290                              const char *shstrtab, const char *strtab,
 291                              unsigned int symndx, unsigned int secndx,
 292                              const char *objname)
 293 {
 294         int cnt, ret;
 295         char sec_objname[MODULE_NAME_LEN];
 296         Elf_Shdr *sec = sechdrs + secndx;
 297
 298         /*
 299          * Format: .klp.rela.sec_objname.section_name
 300          * See comment in klp_resolve_symbols() for an explanation
 301          * of the selected field width value.
 302          */
 303         cnt = sscanf(shstrtab + sec->sh_name, ".klp.rela.%55[^.]",
 304                      sec_objname);
 305         if (cnt != 1) {
 306                 pr_err("section %s has an incorrectly formatted name\n",
 307                        shstrtab + sec->sh_name);
 308                 return -EINVAL;
 309         }
 310
 311         if (strcmp(objname ? objname : "vmlinux", sec_objname))
 312                 return 0;
 313
 314         ret = klp_resolve_symbols(sechdrs, strtab, symndx, sec, sec_objname);
 315         if (ret)
 316                 return ret;
 317
 318         return apply_relocate_add(sechdrs, strtab, symndx, secndx, pmod);
 319 }
 320
 321 /*
 322  * Sysfs Interface
 323  *
 324  * /sys/kernel/livepatch
 325  * /sys/kernel/livepatch/<patch>
 326  * /sys/kernel/livepatch/<patch>/enabled
 327  * /sys/kernel/livepatch/<patch>/transition
 328  * /sys/kernel/livepatch/<patch>/force
 329  * /sys/kernel/livepatch/<patch>/<object>
 330  * /sys/kernel/livepatch/<patch>/<object>/<function,sympos>
 331  */
 332 static int __klp_disable_patch(struct klp_patch *patch);
 333
 334 static ssize_t enabled_store(struct kobject *kobj, struct kobj_attribute *attr,
 335                              const char *buf, size_t count)
 336 {
 337         struct klp_patch *patch;
 338         int ret;
 339         bool enabled;
 340
 341         ret = kstrtobool(buf, &enabled);
 342         if (ret)
 343                 return ret;
 344
 345         patch = container_of(kobj, struct klp_patch, kobj);
 346
 347         mutex_lock(&klp_mutex);
 348
 349         if (patch->enabled == enabled) {
 350                 /* already in requested state */
 351                 ret = -EINVAL;
 352                 goto out;
 353         }
 354
 355         /*
 356          * Allow to reverse a pending transition in both ways. It might be
 357          * necessary to complete the transition without forcing and breaking
 358          * the system integrity.
 359          *
 360          * Do not allow to re-enable a disabled patch.
 361          */
 362         if (patch == klp_transition_patch)
 363                 klp_reverse_transition();
 364         else if (!enabled)
 365                 ret = __klp_disable_patch(patch);
 366         else
 367                 ret = -EINVAL;
 368
 369 out:
 370         mutex_unlock(&klp_mutex);
 371
 372         if (ret)
 373                 return ret;
 374         return count;
 375 }
 376
 377 static ssize_t enabled_show(struct kobject *kobj,
 378                             struct kobj_attribute *attr, char *buf)
 379 {
 380         struct klp_patch *patch;
 381
 382         patch = container_of(kobj, struct klp_patch, kobj);
 383         return snprintf(buf, PAGE_SIZE-1, "%d\n", patch->enabled);
 384 }
 385
 386 static ssize_t transition_show(struct kobject *kobj,
 387                                struct kobj_attribute *attr, char *buf)
 388 {
 389         struct klp_patch *patch;
 390
 391         patch = container_of(kobj, struct klp_patch, kobj);
 392         return snprintf(buf, PAGE_SIZE-1, "%d\n",
 393                         patch == klp_transition_patch);
 394 }
 395
 396 static ssize_t force_store(struct kobject *kobj, struct kobj_attribute *attr,
 397                            const char *buf, size_t count)
 398 {
 399         struct klp_patch *patch;
 400         int ret;
 401         bool val;
 402
 403         ret = kstrtobool(buf, &val);
 404         if (ret)
 405                 return ret;
 406
 407         if (!val)
 408                 return count;
 409
 410         mutex_lock(&klp_mutex);
 411
 412         patch = container_of(kobj, struct klp_patch, kobj);
 413         if (patch != klp_transition_patch) {
 414                 mutex_unlock(&klp_mutex);
 415                 return -EINVAL;
 416         }
 417
 418         klp_force_transition();
 419
 420         mutex_unlock(&klp_mutex);
 421
 422         return count;
 423 }
 424
 425 static struct kobj_attribute enabled_kobj_attr = __ATTR_RW(enabled);
 426 static struct kobj_attribute transition_kobj_attr = __ATTR_RO(transition);
 427 static struct kobj_attribute force_kobj_attr = __ATTR_WO(force);
 428 static struct attribute *klp_patch_attrs[] = {
 429         &enabled_kobj_attr.attr,
 430         &transition_kobj_attr.attr,
 431         &force_kobj_attr.attr,
 432         NULL
 433 };
 434 ATTRIBUTE_GROUPS(klp_patch);
 435
 436 static void klp_free_object_dynamic(struct klp_object *obj)
 437 {
 438         kfree(obj->name);
 439         kfree(obj);
 440 }
 441
 442 static void klp_init_func_early(struct klp_object *obj,
 443                                 struct klp_func *func);
 444 static void klp_init_object_early(struct klp_patch *patch,
 445                                   struct klp_object *obj);
 446
 447 static struct klp_object *klp_alloc_object_dynamic(const char *name,
 448                                                    struct klp_patch *patch)
 449 {
 450         struct klp_object *obj;
 451
 452         obj = kzalloc(sizeof(*obj), GFP_KERNEL);
 453         if (!obj)
 454                 return NULL;
 455
 456         if (name) {
 457                 obj->name = kstrdup(name, GFP_KERNEL);
 458                 if (!obj->name) {
 459                         kfree(obj);
 460                         return NULL;
 461                 }
 462         }
 463
 464         klp_init_object_early(patch, obj);
 465         obj->dynamic = true;
 466
 467         return obj;
 468 }
 469
 470 static void klp_free_func_nop(struct klp_func *func)
 471 {
 472         kfree(func->old_name);
 473         kfree(func);
 474 }
 475
 476 static struct klp_func *klp_alloc_func_nop(struct klp_func *old_func,
 477                                            struct klp_object *obj)
 478 {
 479         struct klp_func *func;
 480
 481         func = kzalloc(sizeof(*func), GFP_KERNEL);
 482         if (!func)
 483                 return NULL;
 484
 485         if (old_func->old_name) {
 486                 func->old_name = kstrdup(old_func->old_name, GFP_KERNEL);
 487                 if (!func->old_name) {
 488                         kfree(func);
 489                         return NULL;
 490                 }
 491         }
 492
 493         klp_init_func_early(obj, func);
 494         /*
 495          * func->new_func is same as func->old_func. These addresses are
 496          * set when the object is loaded, see klp_init_object_loaded().
 497          */
 498         func->old_sympos = old_func->old_sympos;
 499         func->nop = true;
 500
 501         return func;
 502 }
 503
 504 static int klp_add_object_nops(struct klp_patch *patch,
 505                                struct klp_object *old_obj)
 506 {
 507         struct klp_object *obj;
 508         struct klp_func *func, *old_func;
 509
 510         obj = klp_find_object(patch, old_obj);
 511
 512         if (!obj) {
 513                 obj = klp_alloc_object_dynamic(old_obj->name, patch);
 514                 if (!obj)
 515                         return -ENOMEM;
 516         }
 517
 518         klp_for_each_func(old_obj, old_func) {
 519                 func = klp_find_func(obj, old_func);
 520                 if (func)
 521                         continue;
 522
 523                 func = klp_alloc_func_nop(old_func, obj);
 524                 if (!func)
 525                         return -ENOMEM;
 526         }
 527
 528         return 0;
 529 }
 530
 531 /*
 532  * Add 'nop' functions which simply return to the caller to run
 533  * the original function. The 'nop' functions are added to a
 534  * patch to facilitate a 'replace' mode.
 535  */
 536 static int klp_add_nops(struct klp_patch *patch)
 537 {
 538         struct klp_patch *old_patch;
 539         struct klp_object *old_obj;
 540
 541         klp_for_each_patch(old_patch) {
 542                 klp_for_each_object(old_patch, old_obj) {
 543                         int err;
 544
 545                         err = klp_add_object_nops(patch, old_obj);
 546                         if (err)
 547                                 return err;
 548                 }
 549         }
 550
 551         return 0;
 552 }
 553
 554 static void klp_kobj_release_patch(struct kobject *kobj)
 555 {
 556         struct klp_patch *patch;
 557
 558         patch = container_of(kobj, struct klp_patch, kobj);
 559         complete(&patch->finish);
 560 }
 561
 562 static struct kobj_type klp_ktype_patch = {
 563         .release = klp_kobj_release_patch,
 564         .sysfs_ops = &kobj_sysfs_ops,
 565         .default_groups = klp_patch_groups,
 566 };
 567
 568 static void klp_kobj_release_object(struct kobject *kobj)
 569 {
 570         struct klp_object *obj;
 571
 572         obj = container_of(kobj, struct klp_object, kobj);
 573
 574         if (obj->dynamic)
 575                 klp_free_object_dynamic(obj);
 576 }
 577
 578 static struct kobj_type klp_ktype_object = {
 579         .release = klp_kobj_release_object,
 580         .sysfs_ops = &kobj_sysfs_ops,
 581 };
 582
 583 static void klp_kobj_release_func(struct kobject *kobj)
 584 {
 585         struct klp_func *func;
 586
 587         func = container_of(kobj, struct klp_func, kobj);
 588
 589         if (func->nop)
 590                 klp_free_func_nop(func);
 591 }
 592
 593 static struct kobj_type klp_ktype_func = {
 594         .release = klp_kobj_release_func,
 595         .sysfs_ops = &kobj_sysfs_ops,
 596 };
 597
 598 static void __klp_free_funcs(struct klp_object *obj, bool nops_only)
 599 {
 600         struct klp_func *func, *tmp_func;
 601
 602         klp_for_each_func_safe(obj, func, tmp_func) {
 603                 if (nops_only && !func->nop)
 604                         continue;
 605
 606                 list_del(&func->node);
 607                 kobject_put(&func->kobj);
 608         }
 609 }
 610
 611 /* Clean up when a patched object is unloaded */
 612 static void klp_free_object_loaded(struct klp_object *obj)
 613 {
 614         struct klp_func *func;
 615
 616         obj->mod = NULL;
 617
 618         klp_for_each_func(obj, func) {
 619                 func->old_func = NULL;
 620
 621                 if (func->nop)
 622                         func->new_func = NULL;
 623         }
 624 }
 625
 626 static void __klp_free_objects(struct klp_patch *patch, bool nops_only)
 627 {
 628         struct klp_object *obj, *tmp_obj;
 629
 630         klp_for_each_object_safe(patch, obj, tmp_obj) {
 631                 __klp_free_funcs(obj, nops_only);
 632
 633                 if (nops_only && !obj->dynamic)
 634                         continue;
 635
 636                 list_del(&obj->node);
 637                 kobject_put(&obj->kobj);
 638         }
 639 }
 640
 641 static void klp_free_objects(struct klp_patch *patch)
 642 {
 643         __klp_free_objects(patch, false);
 644 }
 645
 646 static void klp_free_objects_dynamic(struct klp_patch *patch)
 647 {
 648         __klp_free_objects(patch, true);
 649 }
 650
 651 /*
 652  * This function implements the free operations that can be called safely
 653  * under klp_mutex.
 654  *
 655  * The operation must be completed by calling klp_free_patch_finish()
 656  * outside klp_mutex.
 657  */
 658 static void klp_free_patch_start(struct klp_patch *patch)
 659 {
 660         if (!list_empty(&patch->list))
 661                 list_del(&patch->list);
 662
 663         klp_free_objects(patch);
 664 }
 665
 666 /*
 667  * This function implements the free part that must be called outside
 668  * klp_mutex.
 669  *
 670  * It must be called after klp_free_patch_start(). And it has to be
 671  * the last function accessing the livepatch structures when the patch
 672  * gets disabled.
 673  */
 674 static void klp_free_patch_finish(struct klp_patch *patch)
 675 {
 676         /*
 677          * Avoid deadlock with enabled_store() sysfs callback by
 678          * calling this outside klp_mutex. It is safe because
 679          * this is called when the patch gets disabled and it
 680          * cannot get enabled again.
 681          */
 682         kobject_put(&patch->kobj);
 683         wait_for_completion(&patch->finish);
 684
 685         /* Put the module after the last access to struct klp_patch. */
 686         if (!patch->forced)
 687                 module_put(patch->mod);
 688 }
 689
 690 /*
 691  * The livepatch might be freed from sysfs interface created by the patch.
 692  * This work allows to wait until the interface is destroyed in a separate
 693  * context.
 694  */
 695 static void klp_free_patch_work_fn(struct work_struct *work)
 696 {
 697         struct klp_patch *patch =
 698                 container_of(work, struct klp_patch, free_work);
 699
 700         klp_free_patch_finish(patch);
 701 }
 702
 703 void klp_free_patch_async(struct klp_patch *patch)
 704 {
 705         klp_free_patch_start(patch);
 706         schedule_work(&patch->free_work);
 707 }
 708
 709 void klp_free_replaced_patches_async(struct klp_patch *new_patch)
 710 {
 711         struct klp_patch *old_patch, *tmp_patch;
 712
 713         klp_for_each_patch_safe(old_patch, tmp_patch) {
 714                 if (old_patch == new_patch)
 715                         return;
 716                 klp_free_patch_async(old_patch);
 717         }
 718 }
 719
 720 static int klp_init_func(struct klp_object *obj, struct klp_func *func)
 721 {
 722         if (!func->old_name)
 723                 return -EINVAL;
 724
 725         /*
 726          * NOPs get the address later. The patched module must be loaded,
 727          * see klp_init_object_loaded().
 728          */
 729         if (!func->new_func && !func->nop)
 730                 return -EINVAL;
 731
 732         if (strlen(func->old_name) >= KSYM_NAME_LEN)
 733                 return -EINVAL;
 734
 735         INIT_LIST_HEAD(&func->stack_node);
 736         func->patched = false;
 737         func->transition = false;
 738
 739         /* The format for the sysfs directory is <function,sympos> where sympos
 740          * is the nth occurrence of this symbol in kallsyms for the patched
 741          * object. If the user selects 0 for old_sympos, then 1 will be used
 742          * since a unique symbol will be the first occurrence.
 743          */
 744         return kobject_add(&func->kobj, &obj->kobj, "%s,%lu",
 745                            func->old_name,
 746                            func->old_sympos ? func->old_sympos : 1);
 747 }
 748
 749 static int klp_apply_object_relocs(struct klp_patch *patch,
 750                                    struct klp_object *obj)
 751 {
 752         int i, ret;
 753         struct klp_modinfo *info = patch->mod->klp_info;
 754
 755         for (i = 1; i < info->hdr.e_shnum; i++) {
 756                 Elf_Shdr *sec = info->sechdrs + i;
 757
 758                 if (!(sec->sh_flags & SHF_RELA_LIVEPATCH))
 759                         continue;
 760
 761                 ret = klp_apply_section_relocs(patch->mod, info->sechdrs,
 762                                                info->secstrings,
 763                                                patch->mod->core_kallsyms.strtab,
 764                                                info->symndx, i, obj->name);
 765                 if (ret)
 766                         return ret;
 767         }
 768
 769         return 0;
 770 }
 771
 772 /* parts of the initialization that is done only when the object is loaded */
 773 static int klp_init_object_loaded(struct klp_patch *patch,
 774                                   struct klp_object *obj)
 775 {
 776         struct klp_func *func;
 777         int ret;
 778
 779         if (klp_is_module(obj)) {
 780                 /*
 781                  * Only write module-specific relocations here
 782                  * (.klp.rela.{module}.*).  vmlinux-specific relocations were
 783                  * written earlier during the initialization of the klp module
 784                  * itself.
 785                  */
 786                 ret = klp_apply_object_relocs(patch, obj);
 787                 if (ret)
 788                         return ret;
 789         }
 790
 791         klp_for_each_func(obj, func) {
 792                 ret = klp_find_object_symbol(obj->name, func->old_name,
 793                                              func->old_sympos,
 794                                              (unsigned long *)&func->old_func);
 795                 if (ret)
 796                         return ret;
 797
 798                 ret = kallsyms_lookup_size_offset((unsigned long)func->old_func,
 799                                                   &func->old_size, NULL);
 800                 if (!ret) {
 801                         pr_err("kallsyms size lookup failed for '%s'\n",
 802                                func->old_name);
 803                         return -ENOENT;
 804                 }
 805
 806                 if (func->nop)
 807                         func->new_func = func->old_func;
 808
 809                 ret = kallsyms_lookup_size_offset((unsigned long)func->new_func,
 810                                                   &func->new_size, NULL);
 811                 if (!ret) {
 812                         pr_err("kallsyms size lookup failed for '%s' replacement\n",
 813                                func->old_name);
 814                         return -ENOENT;
 815                 }
 816         }
 817
 818         return 0;
 819 }
 820
 821 static int klp_init_object(struct klp_patch *patch, struct klp_object *obj)
 822 {
 823         struct klp_func *func;
 824         int ret;
 825         const char *name;
 826
 827         if (klp_is_module(obj) && strlen(obj->name) >= MODULE_NAME_LEN)
 828                 return -EINVAL;
 829
 830         obj->patched = false;
 831         obj->mod = NULL;
 832
 833         klp_find_object_module(obj);
 834
 835         name = klp_is_module(obj) ? obj->name : "vmlinux";
 836         ret = kobject_add(&obj->kobj, &patch->kobj, "%s", name);
 837         if (ret)
 838                 return ret;
 839
 840         klp_for_each_func(obj, func) {
 841                 ret = klp_init_func(obj, func);
 842                 if (ret)
 843                         return ret;
 844         }
 845
 846         if (klp_is_object_loaded(obj))
 847                 ret = klp_init_object_loaded(patch, obj);
 848
 849         return ret;
 850 }
 851
 852 static void klp_init_func_early(struct klp_object *obj,
 853                                 struct klp_func *func)
 854 {
 855         kobject_init(&func->kobj, &klp_ktype_func);
 856         list_add_tail(&func->node, &obj->func_list);
 857 }
 858
 859 static void klp_init_object_early(struct klp_patch *patch,
 860                                   struct klp_object *obj)
 861 {
 862         INIT_LIST_HEAD(&obj->func_list);
 863         kobject_init(&obj->kobj, &klp_ktype_object);
 864         list_add_tail(&obj->node, &patch->obj_list);
 865 }
 866
 867 static int klp_init_patch_early(struct klp_patch *patch)
 868 {
 869         struct klp_object *obj;
 870         struct klp_func *func;
 871
 872         if (!patch->objs)
 873                 return -EINVAL;
 874
 875         INIT_LIST_HEAD(&patch->list);
 876         INIT_LIST_HEAD(&patch->obj_list);
 877         kobject_init(&patch->kobj, &klp_ktype_patch);
 878         patch->enabled = false;
 879         patch->forced = false;
 880         INIT_WORK(&patch->free_work, klp_free_patch_work_fn);
 881         init_completion(&patch->finish);
 882
 883         klp_for_each_object_static(patch, obj) {
 884                 if (!obj->funcs)
 885                         return -EINVAL;
 886
 887                 klp_init_object_early(patch, obj);
 888
 889                 klp_for_each_func_static(obj, func) {
 890                         klp_init_func_early(obj, func);
 891                 }
 892         }
 893
 894         if (!try_module_get(patch->mod))
 895                 return -ENODEV;
 896
 897         return 0;
 898 }
 899
 900 static int klp_init_patch(struct klp_patch *patch)
 901 {
 902         struct klp_object *obj;
 903         int ret;
 904
 905         ret = kobject_add(&patch->kobj, klp_root_kobj, "%s", patch->mod->name);
 906         if (ret)
 907                 return ret;
 908
 909         if (patch->replace) {
 910                 ret = klp_add_nops(patch);
 911                 if (ret)
 912                         return ret;
 913         }
 914
 915         klp_for_each_object(patch, obj) {
 916                 ret = klp_init_object(patch, obj);
 917                 if (ret)
 918                         return ret;
 919         }
 920
 921         list_add_tail(&patch->list, &klp_patches);
 922
 923         return 0;
 924 }
 925
 926 static int __klp_disable_patch(struct klp_patch *patch)
 927 {
 928         struct klp_object *obj;
 929
 930         if (WARN_ON(!patch->enabled))
 931                 return -EINVAL;
 932
 933         if (klp_transition_patch)
 934                 return -EBUSY;
 935
 936         klp_init_transition(patch, KLP_UNPATCHED);
 937
 938         klp_for_each_object(patch, obj)
 939                 if (obj->patched)
 940                         klp_pre_unpatch_callback(obj);
 941
 942         /*
 943          * Enforce the order of the func->transition writes in
 944          * klp_init_transition() and the TIF_PATCH_PENDING writes in
 945          * klp_start_transition().  In the rare case where klp_ftrace_handler()
 946          * is called shortly after klp_update_patch_state() switches the task,
 947          * this ensures the handler sees that func->transition is set.
 948          */
 949         smp_wmb();
 950
 951         klp_start_transition();
 952         patch->enabled = false;
 953         klp_try_complete_transition();
 954
 955         return 0;
 956 }
 957
 958 static int __klp_enable_patch(struct klp_patch *patch)
 959 {
 960         struct klp_object *obj;
 961         int ret;
 962
 963         if (klp_transition_patch)
 964                 return -EBUSY;
 965
 966         if (WARN_ON(patch->enabled))
 967                 return -EINVAL;
 968
 969         pr_notice("enabling patch '%s'\n", patch->mod->name);
 970
 971         klp_init_transition(patch, KLP_PATCHED);
 972
 973         /*
 974          * Enforce the order of the func->transition writes in
 975          * klp_init_transition() and the ops->func_stack writes in
 976          * klp_patch_object(), so that klp_ftrace_handler() will see the
 977          * func->transition updates before the handler is registered and the
 978          * new funcs become visible to the handler.
 979          */
 980         smp_wmb();
 981
 982         klp_for_each_object(patch, obj) {
 983                 if (!klp_is_object_loaded(obj))
 984                         continue;
 985
 986                 ret = klp_pre_patch_callback(obj);
 987                 if (ret) {
 988                         pr_warn("pre-patch callback failed for object '%s'\n",
 989                                 klp_is_module(obj) ? obj->name : "vmlinux");
 990                         goto err;
 991                 }
 992
 993                 ret = klp_patch_object(obj);
 994                 if (ret) {
 995                         pr_warn("failed to patch object '%s'\n",
 996                                 klp_is_module(obj) ? obj->name : "vmlinux");
 997                         goto err;
 998                 }
 999         }
1000
1001         klp_start_transition();
1002         patch->enabled = true;
1003         klp_try_complete_transition();
1004
1005         return 0;
1006 err:
1007         pr_warn("failed to enable patch '%s'\n", patch->mod->name);
1008
1009         klp_cancel_transition();
1010         return ret;
1011 }
1012
1013 /**
1014  * klp_enable_patch() - enable the livepatch
1015  * @patch:      patch to be enabled
1016  *
1017  * Initializes the data structure associated with the patch, creates the sysfs
1018  * interface, performs the needed symbol lookups and code relocations,
1019  * registers the patched functions with ftrace.
1020  *
1021  * This function is supposed to be called from the livepatch module_init()
1022  * callback.
1023  *
1024  * Return: 0 on success, otherwise error
1025  */
1026 int klp_enable_patch(struct klp_patch *patch)
1027 {
1028         int ret;
1029
1030         if (!patch || !patch->mod)
1031                 return -EINVAL;
1032
1033         if (!is_livepatch_module(patch->mod)) {
1034                 pr_err("module %s is not marked as a livepatch module\n",
1035                        patch->mod->name);
1036                 return -EINVAL;
1037         }
1038
1039         if (!klp_initialized())
1040                 return -ENODEV;
1041
1042         if (!klp_have_reliable_stack()) {
1043                 pr_warn("This architecture doesn't have support for the livepatch consistency model.\n");
1044                 pr_warn("The livepatch transition may never complete.\n");
1045         }
1046
1047         mutex_lock(&klp_mutex);
1048
1049         if (!klp_is_patch_compatible(patch)) {
1050                 pr_err("Livepatch patch (%s) is not compatible with the already installed livepatches.\n",
1051                         patch->mod->name);
1052                 mutex_unlock(&klp_mutex);
1053                 return -EINVAL;
1054         }
1055
1056         ret = klp_init_patch_early(patch);
1057         if (ret) {
1058                 mutex_unlock(&klp_mutex);
1059                 return ret;
1060         }
1061
1062         ret = klp_init_patch(patch);
1063         if (ret)
1064                 goto err;
1065
1066         ret = __klp_enable_patch(patch);
1067         if (ret)
1068                 goto err;
1069
1070         mutex_unlock(&klp_mutex);
1071
1072         return 0;
1073
1074 err:
1075         klp_free_patch_start(patch);
1076
1077         mutex_unlock(&klp_mutex);
1078
1079         klp_free_patch_finish(patch);
1080
1081         return ret;
1082 }
1083 EXPORT_SYMBOL_GPL(klp_enable_patch);
1084
1085 /*
1086  * This function unpatches objects from the replaced livepatches.
1087  *
1088  * We could be pretty aggressive here. It is called in the situation where
1089  * these structures are no longer accessed from the ftrace handler.
1090  * All functions are redirected by the klp_transition_patch. They
1091  * use either a new code or they are in the original code because
1092  * of the special nop function patches.
1093  *
1094  * The only exception is when the transition was forced. In this case,
1095  * klp_ftrace_handler() might still see the replaced patch on the stack.
1096  * Fortunately, it is carefully designed to work with removed functions
1097  * thanks to RCU. We only have to keep the patches on the system. Also
1098  * this is handled transparently by patch->module_put.
1099  */
1100 void klp_unpatch_replaced_patches(struct klp_patch *new_patch)
1101 {
1102         struct klp_patch *old_patch;
1103
1104         klp_for_each_patch(old_patch) {
1105                 if (old_patch == new_patch)
1106                         return;
1107
1108                 old_patch->enabled = false;
1109                 klp_unpatch_objects(old_patch);
1110         }
1111 }
1112
1113 /*
1114  * This function removes the dynamically allocated 'nop' functions.
1115  *
1116  * We could be pretty aggressive. NOPs do not change the existing
1117  * behavior except for adding unnecessary delay by the ftrace handler.
1118  *
1119  * It is safe even when the transition was forced. The ftrace handler
1120  * will see a valid ops->func_stack entry thanks to RCU.
1121  *
1122  * We could even free the NOPs structures. They must be the last entry
1123  * in ops->func_stack. Therefore unregister_ftrace_function() is called.
1124  * It does the same as klp_synchronize_transition() to make sure that
1125  * nobody is inside the ftrace handler once the operation finishes.
1126  *
1127  * IMPORTANT: It must be called right after removing the replaced patches!
1128  */
1129 void klp_discard_nops(struct klp_patch *new_patch)
1130 {
1131         klp_unpatch_objects_dynamic(klp_transition_patch);
1132         klp_free_objects_dynamic(klp_transition_patch);
1133 }
1134
1135 /*
1136  * Remove parts of patches that touch a given kernel module. The list of
1137  * patches processed might be limited. When limit is NULL, all patches
1138  * will be handled.
1139  */
1140 static void klp_cleanup_module_patches_limited(struct module *mod,
1141                                                struct klp_patch *limit)
1142 {
1143         struct klp_patch *patch;
1144         struct klp_object *obj;
1145
1146         klp_for_each_patch(patch) {
1147                 if (patch == limit)
1148                         break;
1149
1150                 klp_for_each_object(patch, obj) {
1151                         if (!klp_is_module(obj) || strcmp(obj->name, mod->name))
1152                                 continue;
1153
1154                         if (patch != klp_transition_patch)
1155                                 klp_pre_unpatch_callback(obj);
1156
1157                         pr_notice("reverting patch '%s' on unloading module '%s'\n",
1158                                   patch->mod->name, obj->mod->name);
1159                         klp_unpatch_object(obj);
1160
1161                         klp_post_unpatch_callback(obj);
1162
1163                         klp_free_object_loaded(obj);
1164                         break;
1165                 }
1166         }
1167 }
1168
1169 int klp_module_coming(struct module *mod)
1170 {
1171         int ret;
1172         struct klp_patch *patch;
1173         struct klp_object *obj;
1174
1175         if (WARN_ON(mod->state != MODULE_STATE_COMING))
1176                 return -EINVAL;
1177
1178         if (!strcmp(mod->name, "vmlinux")) {
1179                 pr_err("vmlinux.ko: invalid module name");
1180                 return -EINVAL;
1181         }
1182
1183         mutex_lock(&klp_mutex);
1184         /*
1185          * Each module has to know that klp_module_coming()
1186          * has been called. We never know what module will
1187          * get patched by a new patch.
1188          */
1189         mod->klp_alive = true;
1190
1191         klp_for_each_patch(patch) {
1192                 klp_for_each_object(patch, obj) {
1193                         if (!klp_is_module(obj) || strcmp(obj->name, mod->name))
1194                                 continue;
1195
1196                         obj->mod = mod;
1197
1198                         ret = klp_init_object_loaded(patch, obj);
1199                         if (ret) {
1200                                 pr_warn("failed to initialize patch '%s' for module '%s' (%d)\n",
1201                                         patch->mod->name, obj->mod->name, ret);
1202                                 goto err;
1203                         }
1204
1205                         pr_notice("applying patch '%s' to loading module '%s'\n",
1206                                   patch->mod->name, obj->mod->name);
1207
1208                         ret = klp_pre_patch_callback(obj);
1209                         if (ret) {
1210                                 pr_warn("pre-patch callback failed for object '%s'\n",
1211                                         obj->name);
1212                                 goto err;
1213                         }
1214
1215                         ret = klp_patch_object(obj);
1216                         if (ret) {
1217                                 pr_warn("failed to apply patch '%s' to module '%s' (%d)\n",
1218                                         patch->mod->name, obj->mod->name, ret);
1219
1220                                 klp_post_unpatch_callback(obj);
1221                                 goto err;
1222                         }
1223
1224                         if (patch != klp_transition_patch)
1225                                 klp_post_patch_callback(obj);
1226
1227                         break;
1228                 }
1229         }
1230
1231         mutex_unlock(&klp_mutex);
1232
1233         return 0;
1234
1235 err:
1236         /*
1237          * If a patch is unsuccessfully applied, return
1238          * error to the module loader.
1239          */
1240         pr_warn("patch '%s' failed for module '%s', refusing to load module '%s'\n",
1241                 patch->mod->name, obj->mod->name, obj->mod->name);
1242         mod->klp_alive = false;
1243         obj->mod = NULL;
1244         klp_cleanup_module_patches_limited(mod, patch);
1245         mutex_unlock(&klp_mutex);
1246
1247         return ret;
1248 }
1249
1250 void klp_module_going(struct module *mod)
1251 {
1252         if (WARN_ON(mod->state != MODULE_STATE_GOING &&
1253                     mod->state != MODULE_STATE_COMING))
1254                 return;
1255
1256         mutex_lock(&klp_mutex);
1257         /*
1258          * Each module has to know that klp_module_going()
1259          * has been called. We never know what module will
1260          * get patched by a new patch.
1261          */
1262         mod->klp_alive = false;
1263
1264         klp_cleanup_module_patches_limited(mod, NULL);
1265
1266         mutex_unlock(&klp_mutex);
1267 }
1268
1269 static int __init klp_init(void)
1270 {
1271         klp_root_kobj = kobject_create_and_add("livepatch", kernel_kobj);
1272         if (!klp_root_kobj)
1273                 return -ENOMEM;
1274
1275         return 0;
1276 }
1277
1278 module_init(klp_init);