]> granicus.if.org Git - postgresql/commitdiff
Add error-throwing wrappers for the printf family of functions.
authorNoah Misch <noah@leadboat.com>
Mon, 18 May 2015 14:02:31 +0000 (10:02 -0400)
committerNoah Misch <noah@leadboat.com>
Mon, 18 May 2015 14:02:38 +0000 (10:02 -0400)
All known standard library implementations of these functions can fail
with ENOMEM.  A caller neglecting to check for failure would experience
missing output, information exposure, or a crash.  Check return values
within wrappers and code, currently just snprintf.c, that bypasses the
wrappers.  The wrappers do not return after an error, so their callers
need not check.  Back-patch to 9.0 (all supported versions).

Popular free software standard library implementations do take pains to
bypass malloc() in simple cases, but they risk ENOMEM for floating point
numbers, positional arguments, large field widths, and large precisions.
No specification demands such caution, so this commit regards every call
to a printf family function as a potential threat.

Injecting the wrappers implicitly is a compromise between patch scope
and design goals.  I would prefer to edit each call site to name a
wrapper explicitly.  libpq and the ECPG libraries would, ideally, convey
errors to the caller rather than abort().  All that would be painfully
invasive for a back-patched security fix, hence this compromise.

Security: CVE-2015-3166

15 files changed:
src/include/port.h
src/interfaces/ecpg/compatlib/Makefile
src/interfaces/ecpg/ecpglib/.gitignore
src/interfaces/ecpg/ecpglib/Makefile
src/interfaces/ecpg/pgtypeslib/.gitignore
src/interfaces/ecpg/pgtypeslib/Makefile
src/interfaces/libpq/.gitignore
src/interfaces/libpq/Makefile
src/interfaces/libpq/bcc32.mak
src/interfaces/libpq/win32.mak
src/pl/plperl/plperl.h
src/port/Makefile
src/port/snprintf.c
src/port/syswrap.c [new file with mode: 0644]
src/tools/msvc/Mkvcbuild.pm

index 80c3230e446f3fcc184c5e76a8d1bceaa3aad9ac..b19ceb3be2dc47478e409030bccb9c4ebf3cbc40 100644 (file)
@@ -155,12 +155,11 @@ extern unsigned char pg_tolower(unsigned char ch);
 extern unsigned char pg_ascii_toupper(unsigned char ch);
 extern unsigned char pg_ascii_tolower(unsigned char ch);
 
-#ifdef USE_REPL_SNPRINTF
-
 /*
- * Versions of libintl >= 0.13 try to replace printf() and friends with
- * macros to their own versions that understand the %$ format.  We do the
- * same, so disable their macros, if they exist.
+ * Capture macro-compatible calls to printf() and friends, and redirect them
+ * to wrappers that throw errors in lieu of reporting failure in a return
+ * value.  Versions of libintl >= 0.13 similarly redirect to versions that
+ * understand the %$ format, so disable libintl macros first.
  */
 #ifdef vsnprintf
 #undef vsnprintf
@@ -184,6 +183,55 @@ extern unsigned char pg_ascii_tolower(unsigned char ch);
 #undef printf
 #endif
 
+extern int
+vsnprintf_throw_on_fail(char *str, size_t count, const char *fmt, va_list args)
+__attribute__((format(PG_PRINTF_ATTRIBUTE, 3, 0)));
+extern int
+snprintf_throw_on_fail(char *str, size_t count, const char *fmt,...)
+__attribute__((format(PG_PRINTF_ATTRIBUTE, 3, 4)));
+extern int
+vsprintf_throw_on_fail(char *str, const char *fmt, va_list args)
+__attribute__((format(PG_PRINTF_ATTRIBUTE, 2, 0)));
+extern int
+sprintf_throw_on_fail(char *str, const char *fmt,...)
+__attribute__((format(PG_PRINTF_ATTRIBUTE, 2, 3)));
+extern int
+vfprintf_throw_on_fail(FILE *stream, const char *fmt, va_list args)
+__attribute__((format(PG_PRINTF_ATTRIBUTE, 2, 0)));
+extern int
+fprintf_throw_on_fail(FILE *stream, const char *fmt,...)
+__attribute__((format(PG_PRINTF_ATTRIBUTE, 2, 3)));
+extern int
+printf_throw_on_fail(const char *fmt,...)
+__attribute__((format(PG_PRINTF_ATTRIBUTE, 1, 2)));
+
+/*
+ *     The GCC-specific code below prevents the __attribute__(... 'printf')
+ *     above from being replaced, and this is required because gcc doesn't
+ *     know anything about printf_throw_on_fail.
+ */
+#ifdef __GNUC__
+#define vsnprintf(...) vsnprintf_throw_on_fail(__VA_ARGS__)
+#define snprintf(...)  snprintf_throw_on_fail(__VA_ARGS__)
+#define vsprintf(...)  vsprintf_throw_on_fail(__VA_ARGS__)
+#define sprintf(...)   sprintf_throw_on_fail(__VA_ARGS__)
+#define vfprintf(...)  vfprintf_throw_on_fail(__VA_ARGS__)
+#define fprintf(...)   fprintf_throw_on_fail(__VA_ARGS__)
+#define printf(...)            printf_throw_on_fail(__VA_ARGS__)
+#else
+#define vsnprintf              vsnprintf_throw_on_fail
+#define snprintf               snprintf_throw_on_fail
+#define vsprintf               vsprintf_throw_on_fail
+#define sprintf                        sprintf_throw_on_fail
+#define vfprintf               vfprintf_throw_on_fail
+#define fprintf                        fprintf_throw_on_fail
+#define printf                 printf_throw_on_fail
+#endif
+
+#ifdef USE_REPL_SNPRINTF
+
+/* Code outside syswrap.c should not call these. */
+
 extern int     pg_vsnprintf(char *str, size_t count, const char *fmt, va_list args);
 extern int
 pg_snprintf(char *str, size_t count, const char *fmt,...)
@@ -204,28 +252,6 @@ pg_printf(const char *fmt,...)
 /* This extension allows gcc to check the format string */
 __attribute__((format(PG_PRINTF_ATTRIBUTE, 1, 2)));
 
-/*
- *     The GCC-specific code below prevents the __attribute__(... 'printf')
- *     above from being replaced, and this is required because gcc doesn't
- *     know anything about pg_printf.
- */
-#ifdef __GNUC__
-#define vsnprintf(...) pg_vsnprintf(__VA_ARGS__)
-#define snprintf(...)  pg_snprintf(__VA_ARGS__)
-#define vsprintf(...)  pg_vsprintf(__VA_ARGS__)
-#define sprintf(...)   pg_sprintf(__VA_ARGS__)
-#define vfprintf(...)  pg_vfprintf(__VA_ARGS__)
-#define fprintf(...)   pg_fprintf(__VA_ARGS__)
-#define printf(...)            pg_printf(__VA_ARGS__)
-#else
-#define vsnprintf              pg_vsnprintf
-#define snprintf               pg_snprintf
-#define vsprintf               pg_vsprintf
-#define sprintf                        pg_sprintf
-#define vfprintf               pg_vfprintf
-#define fprintf                        pg_fprintf
-#define printf                 pg_printf
-#endif
 #endif   /* USE_REPL_SNPRINTF */
 
 #if defined(WIN32)
index 1d90e44dcaee325265a4c7d45d3fd89f5bdadb59..14e6cadc41ab4fd82d916ebd51b148e4055b10da 100644 (file)
@@ -45,6 +45,7 @@ submake-pgtypeslib:
 # Shared library stuff
 include $(top_srcdir)/src/Makefile.shlib
 
+# XXX This library uses no symbols from snprintf.c.
 snprintf.c: % : $(top_srcdir)/src/port/%
        rm -f $@ && $(LN_S) $< .
 
index f17eacde9147b6686d1588d1f96beceb23221cb5..32451d68fc4086f919eaf4611282654773ae4885 100644 (file)
@@ -7,4 +7,5 @@
 /path.c
 /pgstrcasecmp.c
 /strlcpy.c
+/syswrap.c
 /thread.c
index b19e5d7785f39651da5ddefea182363ec960cdb0..5d91665f6799984b1919cd9b2fc1ba07b91fe298 100644 (file)
@@ -25,7 +25,7 @@ override CFLAGS += $(PTHREAD_CFLAGS)
 LIBS := $(filter-out -lpgport, $(LIBS))
 
 OBJS= execute.o typename.o descriptor.o sqlda.o data.o error.o prepare.o memory.o \
-       connect.o misc.o path.o pgstrcasecmp.o \
+       connect.o misc.o path.o pgstrcasecmp.o syswrap.o \
        $(filter snprintf.o strlcpy.o win32setlocale.o isinf.o, $(LIBOBJS))
 
 # thread.c is needed only for non-WIN32 implementation of path.c
@@ -57,7 +57,7 @@ include $(top_srcdir)/src/Makefile.shlib
 # necessarily use the same object files as the backend uses. Instead,
 # symlink the source files in here and build our own object file.
 
-path.c pgstrcasecmp.c snprintf.c strlcpy.c thread.c win32setlocale.c isinf.c: % : $(top_srcdir)/src/port/%
+path.c pgstrcasecmp.c snprintf.c strlcpy.c syswrap.c thread.c win32setlocale.c isinf.c: % : $(top_srcdir)/src/port/%
        rm -f $@ && $(LN_S) $< .
 
 misc.o: misc.c $(top_builddir)/src/port/pg_config_paths.h
@@ -74,6 +74,6 @@ uninstall: uninstall-lib
 
 clean distclean: clean-lib
        rm -f $(OBJS)
-       rm -f path.c pgstrcasecmp.c snprintf.c strlcpy.c thread.c win32setlocale.c
+       rm -f path.c pgstrcasecmp.c snprintf.c strlcpy.c syswrap.c thread.c win32setlocale.c
 
 maintainer-clean: distclean maintainer-clean-lib
index 79b264428eedb611ca6a5b5dd0e68dbc399dd8b6..819bfdee68484c97cc3bc513542eb70723af08c7 100644 (file)
@@ -5,3 +5,4 @@
 /exports.list
 
 /pgstrcasecmp.c
+/syswrap.c
index 5c11c19eb73710596748698693c35ab916326415..b687636c3a2b4be19ad84c68bdc6452934d74e05 100644 (file)
@@ -29,7 +29,7 @@ SHLIB_LINK += -lm
 SHLIB_EXPORTS = exports.txt
 
 OBJS= numeric.o datetime.o common.o dt_common.o timestamp.o interval.o \
-       pgstrcasecmp.o \
+       pgstrcasecmp.o syswrap.o \
        $(filter rint.o snprintf.o, $(LIBOBJS))
 
 all: all-lib
@@ -42,7 +42,7 @@ include $(top_srcdir)/src/Makefile.shlib
 # necessarily use the same object files as the backend uses. Instead,
 # symlink the source files in here and build our own object file.
 
-pgstrcasecmp.c rint.c snprintf.c: % : $(top_srcdir)/src/port/%
+pgstrcasecmp.c rint.c snprintf.c syswrap.c: % : $(top_srcdir)/src/port/%
        rm -f $@ && $(LN_S) $< .
 
 install: all installdirs install-lib
@@ -52,6 +52,6 @@ installdirs: installdirs-lib
 uninstall: uninstall-lib
 
 clean distclean: clean-lib
-       rm -f $(OBJS) pgstrcasecmp.c rint.c snprintf.c
+       rm -f $(OBJS) pgstrcasecmp.c rint.c snprintf.c syswrap.c
 
 maintainer-clean: distclean maintainer-clean-lib
index 8adf0ddc7a0f7696b325b895cfa57e23b67705ef..f824c0d05faf76a51ab2dd4628d05483ed12c800 100644 (file)
@@ -11,6 +11,7 @@
 /snprintf.c
 /strerror.c
 /strlcpy.c
+/syswrap.c
 /thread.c
 /win32error.c
 /win32setlocale.c
index 0964de495cf0c845d63409abee3419026fc92583..2883f4e596c0969b27357c93f7b21286547364a2 100644 (file)
@@ -35,7 +35,7 @@ OBJS= fe-auth.o fe-connect.o fe-exec.o fe-misc.o fe-print.o fe-lobj.o \
        fe-protocol2.o fe-protocol3.o pqexpbuffer.o pqsignal.o fe-secure.o \
        libpq-events.o
 # libpgport C files we always use
-OBJS += chklocale.o inet_net_ntop.o noblock.o pgstrcasecmp.o thread.o
+OBJS += chklocale.o inet_net_ntop.o noblock.o pgstrcasecmp.o syswrap.o thread.o
 # libpgport C files that are needed if identified by configure
 OBJS += $(filter crypt.o getaddrinfo.o getpeereid.o inet_aton.o open.o snprintf.o strerror.o strlcpy.o win32error.o win32setlocale.o, $(LIBOBJS))
 # backend/libpq
@@ -88,7 +88,7 @@ backend_src = $(top_srcdir)/src/backend
 # For some libpgport modules, this only happens if configure decides 
 # the module is needed (see filter hack in OBJS, above).
 
-chklocale.c crypt.c getaddrinfo.c getpeereid.c inet_aton.c inet_net_ntop.c noblock.c open.c pgsleep.c pgstrcasecmp.c snprintf.c strerror.c strlcpy.c thread.c win32error.c win32setlocale.c: % : $(top_srcdir)/src/port/%
+chklocale.c crypt.c getaddrinfo.c getpeereid.c inet_aton.c inet_net_ntop.c noblock.c open.c pgsleep.c pgstrcasecmp.c snprintf.c strerror.c strlcpy.c syswrap.c thread.c win32error.c win32setlocale.c: % : $(top_srcdir)/src/port/%
        rm -f $@ && $(LN_S) $< .
 
 ip.c md5.c: % : $(backend_src)/libpq/%
@@ -145,7 +145,7 @@ clean distclean: clean-lib
 # Might be left over from a Win32 client-only build
        rm -f pg_config_paths.h
        rm -f inet_net_ntop.c noblock.c pgstrcasecmp.c thread.c
-       rm -f chklocale.c crypt.c getaddrinfo.c getpeereid.c inet_aton.c open.c snprintf.c strerror.c strlcpy.c win32error.c win32setlocale.c
+       rm -f chklocale.c crypt.c getaddrinfo.c getpeereid.c inet_aton.c open.c snprintf.c strerror.c strlcpy.c syswrap.c win32error.c win32setlocale.c
        rm -f pgsleep.c 
        rm -f md5.c ip.c
        rm -f encnames.c wchar.c
index fbef737ecda72e31e793ee6098adecbc18656299..25c04f36557e678dfe4e8e6d9033f01e22b561ae 100644 (file)
@@ -106,6 +106,7 @@ CLEAN :
        -@erase "$(INTDIR)\dirmod.obj"
        -@erase "$(INTDIR)\pgsleep.obj"
        -@erase "$(INTDIR)\open.obj"
+       -@erase "$(INTDIR)\syswrap.obj"
        -@erase "$(INTDIR)\win32error.obj"
        -@erase "$(OUTDIR)\$(OUTFILENAME).lib"
        -@erase "$(OUTDIR)\$(OUTFILENAME)dll.lib"
@@ -149,6 +150,7 @@ LIB32_OBJS= \
        "$(INTDIR)\dirmod.obj" \
        "$(INTDIR)\pgsleep.obj" \
        "$(INTDIR)\open.obj" \
+       "$(INTDIR)\syswrap.obj" \
        "$(INTDIR)\win32error.obj" \
        "$(INTDIR)\pthread-win32.obj"
 
@@ -287,6 +289,11 @@ LINK32_FLAGS = -Gn -L$(BCB)\lib;$(INTDIR); -x -Tpd -v
        $(CPP_PROJ) /I"." ..\..\port\open.c
 <<
 
+"$(INTDIR)\syswrap.obj" : ..\..\port\syswrap.c
+       $(CPP) @<<
+       $(CPP_PROJ) ..\..\port\syswrap.c
+<<
+
 "$(INTDIR)\win32error.obj" : ..\..\port\win32error.c
        $(CPP) @<<
        $(CPP_PROJ) /I"." ..\..\port\win32error.c
index 70a741a5f410e2d6b13b588401b358d8538322e7..9740f394ea69cbd72443fd9b22b94a2c4913ad0d 100644 (file)
@@ -113,6 +113,7 @@ CLEAN :
        -@erase "$(INTDIR)\dirmod.obj"
        -@erase "$(INTDIR)\pgsleep.obj"
        -@erase "$(INTDIR)\open.obj"
+       -@erase "$(INTDIR)\syswrap.obj"
        -@erase "$(INTDIR)\win32error.obj"
        -@erase "$(INTDIR)\win32setlocale.obj"
        -@erase "$(OUTDIR)\$(OUTFILENAME).lib"
@@ -159,6 +160,7 @@ LIB32_OBJS= \
        "$(INTDIR)\dirmod.obj" \
        "$(INTDIR)\pgsleep.obj" \
        "$(INTDIR)\open.obj" \
+       "$(INTDIR)\syswrap.obj" \
        "$(INTDIR)\win32error.obj" \
        "$(INTDIR)\win32setlocale.obj" \
        "$(INTDIR)\pthread-win32.obj"
@@ -327,6 +329,11 @@ LINK32_OBJS= \
        $(CPP_PROJ) /I"." ..\..\port\open.c
 <<
 
+"$(INTDIR)\syswrap.obj" : ..\..\port\syswrap.c
+       $(CPP) @<<
+       $(CPP_PROJ) ..\..\port\syswrap.c
+<<
+
 "$(INTDIR)\win32error.obj" : ..\..\port\win32error.c
        $(CPP) @<<
        $(CPP_PROJ) /I"." ..\..\port\win32error.c
index c4810cbcdb15fbfb01e1ab9902a077782042db70..927742a29db970ae95db8e7d9338f83ba64ba313 100644 (file)
  * So we undefine them here and redefine them after it's done its dirty deed.
  */
 
-#ifdef USE_REPL_SNPRINTF
 #undef snprintf
 #undef vsnprintf
-#endif
 
 
 /* required for perl API */
@@ -51,7 +49,6 @@
 #include "XSUB.h"
 
 /* put back our snprintf and vsnprintf */
-#ifdef USE_REPL_SNPRINTF
 #ifdef snprintf
 #undef snprintf
 #endif
 #undef vsnprintf
 #endif
 #ifdef __GNUC__
-#define vsnprintf(...) pg_vsnprintf(__VA_ARGS__)
-#define snprintf(...)  pg_snprintf(__VA_ARGS__)
+#define vsnprintf(...) vsnprintf_throw_on_fail(__VA_ARGS__)
+#define snprintf(...)  snprintf_throw_on_fail(__VA_ARGS__)
 #else
-#define vsnprintf              pg_vsnprintf
-#define snprintf               pg_snprintf
+#define vsnprintf              vsnprintf_throw_on_fail
+#define snprintf               snprintf_throw_on_fail
 #endif   /* __GNUC__ */
-#endif   /* USE_REPL_SNPRINTF */
 
 /* perl version and platform portability */
 #define NEED_eval_pv
index 63cd5c97b8891cf4112ae8da5323494e708597ef..9a73216c2f4bb2b2c7cd99c0a67897937c7351b3 100644 (file)
@@ -32,7 +32,7 @@ LIBS += $(PTHREAD_LIBS)
 
 OBJS = $(LIBOBJS) chklocale.o dirmod.o exec.o inet_net_ntop.o noblock.o \
        path.o pgcheckdir.o pgmkdirp.o pgsleep.o pgstrcasecmp.o \
-       qsort.o qsort_arg.o sprompt.o thread.o
+       qsort.o qsort_arg.o sprompt.o syswrap.o thread.o
 
 # foo_srv.o and foo.o are both built from foo.c, but only foo.o has -DFRONTEND
 OBJS_SRV = $(OBJS:%.o=%_srv.o)
index e53356ff383239a742722c9407be6e24f1904cef..9dfb57599eeaf1827b570429bd72b9d844c90eaa 100644 (file)
@@ -114,6 +114,7 @@ typedef struct
        /* bufend == NULL is for sprintf, where we assume buf is big enough */
        FILE       *stream;                     /* eventual output destination, or NULL */
        int                     nchars;                 /* # chars already sent to stream */
+       bool            failed;                 /* call is a failure; errno is set */
 } PrintfTarget;
 
 /*
@@ -143,7 +144,7 @@ typedef union
 
 
 static void flushbuffer(PrintfTarget *target);
-static int     dopr(PrintfTarget *target, const char *format, va_list args);
+static void dopr(PrintfTarget *target, const char *format, va_list args);
 
 
 int
@@ -157,14 +158,10 @@ pg_vsnprintf(char *str, size_t count, const char *fmt, va_list args)
        target.bufend = str + count - 1;
        target.stream = NULL;
        /* target.nchars is unused in this case */
-       if (dopr(&target, fmt, args))
-       {
-               *(target.bufptr) = '\0';
-               errno = EINVAL;                 /* bad format */
-               return -1;
-       }
+       target.failed = false;
+       dopr(&target, fmt, args);
        *(target.bufptr) = '\0';
-       return target.bufptr - target.bufstart;
+       return target.failed ? -1 : (target.bufptr - target.bufstart);
 }
 
 int
@@ -190,14 +187,10 @@ pg_vsprintf(char *str, const char *fmt, va_list args)
        target.bufend = NULL;
        target.stream = NULL;
        /* target.nchars is unused in this case */
-       if (dopr(&target, fmt, args))
-       {
-               *(target.bufptr) = '\0';
-               errno = EINVAL;                 /* bad format */
-               return -1;
-       }
+       target.failed = false;
+       dopr(&target, fmt, args);
        *(target.bufptr) = '\0';
-       return target.bufptr - target.bufstart;
+       return target.failed ? -1 : (target.bufptr - target.bufstart);
 }
 
 int
@@ -227,14 +220,11 @@ pg_vfprintf(FILE *stream, const char *fmt, va_list args)
        target.bufend = buffer + sizeof(buffer) - 1;
        target.stream = stream;
        target.nchars = 0;
-       if (dopr(&target, fmt, args))
-       {
-               errno = EINVAL;                 /* bad format */
-               return -1;
-       }
+       target.failed = false;
+       dopr(&target, fmt, args);
        /* dump any remaining buffer contents */
        flushbuffer(&target);
-       return target.nchars;
+       return target.failed ? -1 : target.nchars;
 }
 
 int
@@ -261,14 +251,24 @@ pg_printf(const char *fmt,...)
        return len;
 }
 
-/* call this only when stream is defined */
+/*
+ * Attempt to write the entire buffer to target->stream; discard the entire
+ * buffer in any case.  Call this only when target->stream is defined.
+ */
 static void
 flushbuffer(PrintfTarget *target)
 {
        size_t          nc = target->bufptr - target->bufstart;
 
-       if (nc > 0)
-               target->nchars += fwrite(target->bufstart, 1, nc, target->stream);
+       if (!target->failed && nc > 0)
+       {
+               size_t          written;
+
+               written = fwrite(target->bufstart, 1, nc, target->stream);
+               target->nchars += written;
+               if (written != nc)
+                       target->failed = true;
+       }
        target->bufptr = target->bufstart;
 }
 
@@ -295,7 +295,7 @@ static void trailing_pad(int *padlen, PrintfTarget *target);
 /*
  * dopr(): poor man's version of doprintf
  */
-static int
+static void
 dopr(PrintfTarget *target, const char *format, va_list args)
 {
        const char *format_start = format;
@@ -372,12 +372,12 @@ nextch1:
                        case '$':
                                have_dollar = true;
                                if (accum <= 0 || accum > NL_ARGMAX)
-                                       return -1;
+                                       goto bad_format;
                                if (afterstar)
                                {
                                        if (argtypes[accum] &&
                                                argtypes[accum] != ATYPE_INT)
-                                               return -1;
+                                               goto bad_format;
                                        argtypes[accum] = ATYPE_INT;
                                        last_dollar = Max(last_dollar, accum);
                                        afterstar = false;
@@ -414,7 +414,7 @@ nextch1:
                                                atype = ATYPE_INT;
                                        if (argtypes[fmtpos] &&
                                                argtypes[fmtpos] != atype)
-                                               return -1;
+                                               goto bad_format;
                                        argtypes[fmtpos] = atype;
                                        last_dollar = Max(last_dollar, fmtpos);
                                }
@@ -426,7 +426,7 @@ nextch1:
                                {
                                        if (argtypes[fmtpos] &&
                                                argtypes[fmtpos] != ATYPE_INT)
-                                               return -1;
+                                               goto bad_format;
                                        argtypes[fmtpos] = ATYPE_INT;
                                        last_dollar = Max(last_dollar, fmtpos);
                                }
@@ -439,7 +439,7 @@ nextch1:
                                {
                                        if (argtypes[fmtpos] &&
                                                argtypes[fmtpos] != ATYPE_CHARPTR)
-                                               return -1;
+                                               goto bad_format;
                                        argtypes[fmtpos] = ATYPE_CHARPTR;
                                        last_dollar = Max(last_dollar, fmtpos);
                                }
@@ -455,7 +455,7 @@ nextch1:
                                {
                                        if (argtypes[fmtpos] &&
                                                argtypes[fmtpos] != ATYPE_DOUBLE)
-                                               return -1;
+                                               goto bad_format;
                                        argtypes[fmtpos] = ATYPE_DOUBLE;
                                        last_dollar = Max(last_dollar, fmtpos);
                                }
@@ -476,7 +476,7 @@ nextch1:
 
        /* Per spec, you use either all dollar or all not. */
        if (have_dollar && have_non_dollar)
-               return -1;
+               goto bad_format;
 
        /*
         * In dollar mode, collect the arguments in physical order.
@@ -486,7 +486,7 @@ nextch1:
                switch (argtypes[i])
                {
                        case ATYPE_NONE:
-                               return -1;              /* invalid format */
+                               goto bad_format;
                        case ATYPE_INT:
                                argvalues[i].i = va_arg(args, int);
                                break;
@@ -511,6 +511,9 @@ nextch1:
        format = format_start;
        while ((ch = *format++) != '\0')
        {
+               if (target->failed)
+                       break;
+
                if (ch != '%')
                {
                        dopr_outch(ch, target);
@@ -755,7 +758,11 @@ nextch2:
                }
        }
 
-       return 0;
+       return;
+
+bad_format:
+       errno = EINVAL;
+       target->failed = true;
 }
 
 static size_t
@@ -805,8 +812,10 @@ fmtptr(void *value, PrintfTarget *target)
 
        /* we rely on regular C library's sprintf to do the basic conversion */
        vallen = sprintf(convert, "%p", value);
-
-       dostr(convert, vallen, target);
+       if (vallen < 0)
+               target->failed = true;
+       else
+               dostr(convert, vallen, target);
 }
 
 static void
@@ -939,16 +948,19 @@ fmtfloat(double value, char type, int forcesign, int leftjust,
 
        if (pointflag)
        {
-               sprintf(fmt, "%%.%d%c", prec, type);
+               if (sprintf(fmt, "%%.%d%c", prec, type) < 0)
+                       goto fail;
                zeropadlen = precision - prec;
        }
-       else
-               sprintf(fmt, "%%%c", type);
+       else if (sprintf(fmt, "%%%c", type) < 0)
+               goto fail;
 
        if (!isnan(value) && adjust_sign((value < 0), forcesign, &signvalue))
                value = -value;
 
        vallen = sprintf(convert, fmt, value);
+       if (vallen < 0)
+               goto fail;
 
        /* If it's infinity or NaN, forget about doing any zero-padding */
        if (zeropadlen > 0 && !isdigit((unsigned char) convert[vallen - 1]))
@@ -988,6 +1000,10 @@ fmtfloat(double value, char type, int forcesign, int leftjust,
        }
 
        trailing_pad(&padlen, target);
+       return;
+
+fail:
+       target->failed = true;
 }
 
 static void
diff --git a/src/port/syswrap.c b/src/port/syswrap.c
new file mode 100644 (file)
index 0000000..8415a33
--- /dev/null
@@ -0,0 +1,155 @@
+/*-------------------------------------------------------------------------
+ *
+ * syswrap.c
+ *       error-throwing wrappers around POSIX functions that rarely fail
+ *
+ * Portions Copyright (c) 1996-2015, PostgreSQL Global Development Group
+ *
+ *
+ * IDENTIFICATION
+ *       src/port/syswrap.c
+ *
+ *-------------------------------------------------------------------------
+ */
+
+#ifndef FRONTEND
+#include "postgres.h"
+#else
+#include "postgres_fe.h"
+#endif
+
+/* Prevent recursion */
+#undef vsnprintf
+#undef snprintf
+#undef vsprintf
+#undef sprintf
+#undef vfprintf
+#undef fprintf
+#undef printf
+
+/* When the libc primitives are lacking, use our own. */
+#ifdef USE_REPL_SNPRINTF
+#ifdef __GNUC__
+#define vsnprintf(...) pg_vsnprintf(__VA_ARGS__)
+#define snprintf(...)  pg_snprintf(__VA_ARGS__)
+#define vsprintf(...)  pg_vsprintf(__VA_ARGS__)
+#define sprintf(...)   pg_sprintf(__VA_ARGS__)
+#define vfprintf(...)  pg_vfprintf(__VA_ARGS__)
+#define fprintf(...)   pg_fprintf(__VA_ARGS__)
+#define printf(...)            pg_printf(__VA_ARGS__)
+#else
+#define vsnprintf              pg_vsnprintf
+#define snprintf               pg_snprintf
+#define vsprintf               pg_vsprintf
+#define sprintf                        pg_sprintf
+#define vfprintf               pg_vfprintf
+#define fprintf                        pg_fprintf
+#define printf                 pg_printf
+#endif
+#endif   /* USE_REPL_SNPRINTF */
+
+/*
+ * We abort() in the frontend, rather than exit(), because libpq in particular
+ * has no business calling exit().  These failures had better be rare.
+ */
+#ifdef FRONTEND
+#define LIB_ERR(func) \
+do { \
+       int discard = fprintf(stderr, "%s failed: %s\n", func, strerror(errno)); \
+       (void) discard; \
+       abort(); \
+} while (0)
+#else
+#define LIB_ERR(func) elog(ERROR, "%s failed: %m", func)
+#endif
+
+int
+vsnprintf_throw_on_fail(char *str, size_t count, const char *fmt, va_list args)
+{
+       int                     save_errno;
+       int                     ret;
+
+       /*
+        * On HP-UX B.11.31, a call that truncates output returns -1 without
+        * setting errno.  (SUSv2 allowed this until the approval of Base Working
+        * Group Resolution BWG98-006.)  We could avoid the save and restore of
+        * errno on most platforms.
+        */
+       save_errno = errno;
+       errno = 0;
+       ret = vsnprintf(str, count, fmt, args);
+       if (ret < 0 && errno != 0)
+               LIB_ERR("vsnprintf");
+       errno = save_errno;
+       return ret;
+}
+
+int
+snprintf_throw_on_fail(char *str, size_t count, const char *fmt,...)
+{
+       int                     ret;
+       va_list         args;
+
+       va_start(args, fmt);
+       ret = vsnprintf_throw_on_fail(str, count, fmt, args);
+       va_end(args);
+       return ret;
+}
+
+int
+vsprintf_throw_on_fail(char *str, const char *fmt, va_list args)
+{
+       int                     ret;
+
+       ret = vsprintf(str, fmt, args);
+       if (ret < 0)
+               LIB_ERR("vsprintf");
+       return ret;
+}
+
+int
+sprintf_throw_on_fail(char *str, const char *fmt,...)
+{
+       int                     ret;
+       va_list         args;
+
+       va_start(args, fmt);
+       ret = vsprintf_throw_on_fail(str, fmt, args);
+       va_end(args);
+       return ret;
+}
+
+int
+vfprintf_throw_on_fail(FILE *stream, const char *fmt, va_list args)
+{
+       int                     ret;
+
+       ret = vfprintf(stream, fmt, args);
+       if (ret < 0)
+               LIB_ERR("vfprintf");
+       return ret;
+}
+
+int
+fprintf_throw_on_fail(FILE *stream, const char *fmt,...)
+{
+       int                     ret;
+       va_list         args;
+
+       va_start(args, fmt);
+       ret = vfprintf_throw_on_fail(stream, fmt, args);
+       va_end(args);
+       return ret;
+}
+
+int
+printf_throw_on_fail(const char *fmt,...)
+{
+       int                     ret;
+       va_list         args;
+
+       va_start(args, fmt);
+       ret = vfprintf_throw_on_fail(stdout, fmt, args);
+       va_end(args);
+       return ret;
+}
index ccd328bef7e555c4b5c514b223919e7822e93915..afc07f8bb8c4cd2fa49570e29c27522b070d95ec 100644 (file)
@@ -54,7 +54,7 @@ sub mkvcbuild
       getaddrinfo.c gettimeofday.c inet_net_ntop.c kill.c open.c erand48.c
       snprintf.c strlcat.c strlcpy.c dirmod.c exec.c noblock.c path.c
       pgcheckdir.c pgmkdirp.c pgsleep.c pgstrcasecmp.c qsort.c qsort_arg.c
-      sprompt.c thread.c getopt.c getopt_long.c dirent.c rint.c win32env.c
+      sprompt.c syswrap.c thread.c getopt.c getopt_long.c dirent.c rint.c win32env.c
       win32error.c win32setlocale.c mkdtemp.c);
 
     $libpgport = $solution->AddProject('libpgport','lib','misc');