Merge "libgui: Check slot received from IGBP in Surface" into lmp-dev

Merge "ui: Fix bad size check in Fence::unflatten" into klp-dev am: 25556811f0 am: 71d3ef1340
am: 5c5ee81b0c

Change-Id: Ie7ec2067057ea2dbd4b9af0c93a00ba53879b72f

Merge "ui: Fix bad size check in Fence::unflatten" into klp-dev am: 25556811f0
am: 71d3ef1340

Change-Id: I75797414173ebfb38eefe02ac0a635f10c59d883

Merge "ui: Fix bad size check in Fence::unflatten" into klp-dev
am: 25556811f0

Change-Id: I5a267f8dccb75625fafd96e67bc0fbb9a2492ce7

Merge "ui: Fix bad size check in Fence::unflatten" into klp-dev

ui: Fix bad size check in Fence::unflatten

Differs slightly from mnc+ patch: GetFlattenedSize was fixed in mnc.

Test: Boot device, run poc from bug, observe no longer crashes
Bug: 37285689
Change-Id: Id8b851733b088cce0d07493fbf76e7e24f9299ad

libgui: Check slot received from IGBP in Surface

Checks that the slot number received from mGraphicBufferProducer in
Surface::dequeueBuffer is on the interval [0, NUM_BUFFER_SLOTS) to
protect against a malicious BnGraphicBufferProducer.

Bug: 36991414
Change-Id: I1a76fd1bcce1c558f1c0c30f03638278288ed4fa

libgui: Check slot received from IGBP in Surface am: ac93b3a30e am: 7cb9cd3df2
am: 057ae95ab2  -s ours

Change-Id: I2c6441b19650f31c7bbab9ce22191ae162ba9e58

libgui: Check slot received from IGBP in Surface am: ac93b3a30e
am: 7cb9cd3df2

Change-Id: Iff706258762cac4bfb7d97af7d365412d9ee661d

libgui: Check slot received from IGBP in Surface
am: ac93b3a30e

Change-Id: I6ab9bc7f577634c0bf23359b5eb60e6dd07e4854

libgui: Check slot received from IGBP in Surface

Checks that the slot number received from mGraphicBufferProducer in
Surface::dequeueBuffer is on the interval [0, NUM_BUFFER_SLOTS) to
protect against a malicious BnGraphicBufferProducer.

Bug: 36991414
Change-Id: I1a76fd1bcce1c558f1c0c30f03638278288ed4fa

Fix security vulnerability am: 2ae83f4f62 am: 11ab583834
am: ac2b87ac0f

Change-Id: I3b249a9ec1820917dc015c72bd093535927c9ed6

Fix security vulnerability am: 2ae83f4f62
am: 11ab583834

Change-Id: I09ec85b9f83e1f4458940415cd07f6fca725c552

Fix security vulnerability
am: 2ae83f4f62

Change-Id: Ie0590dbb8429b5b289f3095055abdc8d29b95a7f

Fix security vulnerability

Test: hammerhead
Bug: 32628763
Change-Id: I19a81b63fffee8f323a5925c7e8633fbd640b91c

Correct overflow check in Parcel resize code

Bug 31929765

Change-Id: Ie27b9945f1de056624668869bdf9a5578abff467

Fix SF security vulnerability: 32660278

Because of lack of mutex lock when get mSidebandStream, if one thread
getSidebandStream, another thread setSidebandStream frequently, an UAF
will be triggered.

Bug: 32660278
Test: Marlin device with poc
Change-Id: Idbcf0976ce2db682d0f13455105c45a5c7481a45

ServiceManager: Allow system services running as secondary users to add services

This should be reverted when all system services have been cleaned up to not
do this. A process looking up a service while running in the background will
see the service registered by the active user (assuming the service is
registered on every user switch), not the service registered by the user that
the process itself belongs to.

BUG: 30795333
Change-Id: I1b74d58be38ed358f43c163692f9e704f8f31dbe

DO NOT MERGE ServiceManager: Restore basic uid check

Prevent apps from registering services without relying on selinux checks.

Bug: 29431260

Change-Id: I38c6e8bc7f7cba1cbd3568e8fed1ae7ac2054a9b

Add FrameStats default constructor

Bug 28592402

Change-Id: I857e46c9ab3ffae0d96923d665d13a4128a6cafa

Correctly handle dup() failure in Parcel::readNativeHandle am: 1de7966c72 am: 275c9f60f9
am: 853702ce3d

* commit '853702ce3d1ba5e45ce58f332ed1d40008a44375':
  Correctly handle dup() failure in Parcel::readNativeHandle

Change-Id: I2b8f6070ecc873d67be5a4c72ca870606af93a3d

Correctly handle dup() failure in Parcel::readNativeHandle am: 1de7966c72
am: 275c9f60f9

* commit '275c9f60f94780bd686eca9750ec41cc1fafa333':
  Correctly handle dup() failure in Parcel::readNativeHandle

Change-Id: I6516dea7eac82d06e1ffd1d269dbb6415fece948

Correctly handle dup() failure in Parcel::readNativeHandle
am: 1de7966c72

* commit '1de7966c72981aebc3c7f9978ab129678ac89258':
  Correctly handle dup() failure in Parcel::readNativeHandle

Change-Id: Ie043622a17b241c489429273d369e9a478b7ebcc

Correctly handle dup() failure in Parcel::readNativeHandle

bail out if dup() fails, instead of creating an invalid native_handle_t

Bug: 28395952

Change-Id: Ia1a6198c0f45165b9c6a55a803e5f64d8afa0572

Fix issue #27252896: Security Vulnerability -- weak binder am: 41e7b17
am: 74d2c4b  -s ours

* commit '74d2c4b4c97dbbcf43a9f8870007593d61beb547':
  Fix issue #27252896: Security Vulnerability -- weak binder

Fix issue #27252896: Security Vulnerability -- weak binder
am: 41e7b17

* commit '41e7b1780f106d2eb4304b1f9cf060ce44177cae':
  Fix issue #27252896: Security Vulnerability -- weak binder

Fix issue #27252896: Security Vulnerability -- weak binder

Sending transaction to freed BBinder through weak handle
can cause use of a (mostly) freed object.  We need to try to
safely promote to a strong reference first.

Change-Id: Ic9c6940fa824980472e94ed2dfeca52a6b0fd342
(manually cherry picked and resolved conflicts from commit
c11146106f94e07016e8e26e4f8628f9a0c73199)

Fix issue #27252896: Security Vulnerability -- weak binder

Sending transaction to freed BBinder through weak handle
can cause use of a (mostly) freed object.  We need to try to
safely promote to a strong reference first.

Change-Id: Ic9c6940fa824980472e94ed2dfeca52a6b0fd342
(cherry picked from commit c11146106f94e07016e8e26e4f8628f9a0c73199)

Merge "DO NOT MERGE BQ: fix some uninitialized variables" into klp-dev am: b4eac74
am: dc5d0f4  -s ours

* commit 'dc5d0f46de1f8a800b3af340ca57278989df151a':
  DO NOT MERGE BQ: fix some uninitialized variables

Merge "DO NOT MERGE BQ: fix some uninitialized variables" into klp-dev
am: b4eac74

* commit 'b4eac742c9e3f0238d5d03b237b2038df885ed2c':
  DO NOT MERGE BQ: fix some uninitialized variables

Merge "DO NOT MERGE BQ: fix some uninitialized variables" into klp-dev

DO NOT MERGE BQ: fix some uninitialized variables

Bug 27555981
Bug 27556038

Change-Id: I436b6fec589677d7e36c0e980f6e59808415dc0e

BQ: fix some uninitialized variables

Bug 27555981
Bug 27556038

Change-Id: I436b6fec589677d7e36c0e980f6e59808415dc0e

DO NOT MERGE Add SN logging am: 24cd2b9627
am: ec7538a254  -s ours

* commit 'ec7538a254f283afc7b046aa8ca2fe908d4e3b0c':
  DO NOT MERGE Add SN logging

DO NOT MERGE Add SN logging
am: 24cd2b9627

* commit '24cd2b96279ac29b936ba09ed708b1bcb922d04c':
  DO NOT MERGE Add SN logging

DO NOT MERGE Add SN logging

Bug 27046057

Change-Id: I942876c09fdbe841c19807e463f5426287e07803

Add SN logging

Bug 27046057

Change-Id: Iede7c92e59e60795df1ec7768ebafd6b090f1c27

Merge "DO NOT MERGE BQ: Add permission check to BufferQueueConsumer::dump" into klp-dev am: c232606413
am: 1d0e811e5a  -s ours

* commit '1d0e811e5ac853669fe96370e499428049a5b7ee':
  DO NOT MERGE BQ: Add permission check to BufferQueueConsumer::dump

Merge "DO NOT MERGE BQ: Add permission check to BufferQueueConsumer::dump" into klp-dev
am: c232606413

* commit 'c2326064136adb834d12c3fed47af5d66cd42c15':
  DO NOT MERGE BQ: Add permission check to BufferQueueConsumer::dump

Merge "BQ: Add permission check to BufferQueueConsumer::dump" into lmp-dev

Merge "DO NOT MERGE BQ: Add permission check to BufferQueueConsumer::dump" into klp-dev

Sanity check IMemory access versus underlying mmap am: 94b0d4e3ab
am: ef6908e2b3

* commit 'ef6908e2b3e6ee6514620acc338b458ade7c3640':
  Sanity check IMemory access versus underlying mmap

Sanity check IMemory access versus underlying mmap
am: 94b0d4e3ab

* commit '94b0d4e3ab023cfa03a7a4e85f3e09d3743da715':
  Sanity check IMemory access versus underlying mmap

Sanity check IMemory access versus underlying mmap

Bug 26877992

Change-Id: Ibbf4b1061e4675e4e96bc944a865b53eaf6984fe

BQ: Add permission check to BufferQueueConsumer::dump

Bug 27046057

Change-Id: Id7bd8cf95045b497943ea39dde49e877aa6f5c4e

DO NOT MERGE BQ: Add permission check to BufferQueueConsumer::dump

Bug 27046057
Change-Id: I387178708f460596433f75bb059854a26cc22e78

IGraphicBufferProducer: fix QUEUE_BUFFER info leak am: d06421fd37
am: 413318311c

* commit '413318311c8cc356dd7e0837ce26e937a9f4c56a':
  IGraphicBufferProducer: fix QUEUE_BUFFER info leak

IGraphicBufferProducer: fix QUEUE_BUFFER info leak
am: d06421fd37

* commit 'd06421fd37fbb7fd07002e6738fac3a223cb1a62':
  IGraphicBufferProducer: fix QUEUE_BUFFER info leak

IGraphicBufferProducer: fix QUEUE_BUFFER info leak

Bug: 26338109
Change-Id: I8a979469bfe1e317ebdefa43685e19f9302baea8

IGraphicBufferConsumer: fix ATTACH_BUFFER info leak

Bug: 26338113
Change-Id: I019c4df2c6adbc944122df96968ddd11a02ebe33

DO NOT MERGE: fix build try #2 am: 778b6f4902
am: 034bc1799c  -s ours

* commit '034bc1799cbbc4184aa507eba181573c0a3b9b35':
  DO NOT MERGE: fix build try #2

DO NOT MERGE: fix build try #2
am: 778b6f4902

* commit '778b6f4902ad824d5fc62071caaa837bb47deee5':
  DO NOT MERGE: fix build try #2

resolve merge conflicts of 834ac204ce to klp-modular-dev.
am: 7f1ea80d65

* commit '7f1ea80d65996ab687ff56a884da915535cdc176':
  DO NOT MERGE: fix build breakage

resolve merge conflicts of 834ac204ce to klp-modular-dev.

Bug: 23905002
Change-Id: Ic7262861af91a8fff27692c0f68761cb3ab12aa3

DO NOT MERGE: fix build try #2

On klp-dev, UINT16_MAX isn't available unless __STDINT_LIMITS
is defined, which it's not for this code. This isn't relevant
for later branches due to bionic commit
e2a292d278b94fec3d078b1f1b27c1f89942c276

Don't use UINT16_MAX when we can just hardcode 65535.

Bug: 23905002
Change-Id: Ia1fd0f749cb7a4d19866075abc28ed6960424e54

DO NOT MERGE: fix build breakage

fix klp-dev only build breakage.

  frameworks/native/libs/input/Input.cpp: In member function 'android::status_t android::MotionEvent::readFromParcel(android::Parcel*)':
  frameworks/native/libs/input/Input.cpp:494:47: error: 'UINT16_MAX' was not declared in this scope

Bug: 23905002
Change-Id: I4b6b864ca64d39a8873d045a61e0ddaea2ab9109

add number constraint for samples per MotionEvent am: 5d17838ade
am: 72c8ca4a01

* commit '72c8ca4a0191827fd3265c0820b685a6cf420be1':
  add number constraint for samples per MotionEvent

add number constraint for samples per MotionEvent
am: 5d17838ade

* commit '5d17838adef13062717322e79d4db0b9bb6b2395':
  add number constraint for samples per MotionEvent

add number constraint for samples per MotionEvent

Bug:23905002

Signed-off-by: Adam Lesinski <adamlesinski@google.com>
(cherry picked from commit 552a8a5d8df32f659b8d11311a244cdc6d3b7733)

Change-Id: I9b7ea859889b7697bee4165a2746602212120543

am e2c4f4fb: am c1e6fbb5: Initialize local variables to avoid data leak

* commit 'e2c4f4fb8b34e36a4f2760f3812c942604cabfb6':
  Initialize local variables to avoid data leak

am c1e6fbb5: Initialize local variables to avoid data leak

* commit 'c1e6fbb52c3f85cc7610d1d07d12be38f70b4ed4':
  Initialize local variables to avoid data leak

Initialize local variables to avoid data leak

The uninitialized local variables pick up
whatever the memory content was there on stack.
This data gets sent to the remote process in
case of a failed transaction, which is a security
issue. Fixed.

(Partial manual merge of master change
 12ba0f57d028a9c8f4eb3afddc326b70677d1e0c. Rest
 to automerge from klp-dev)

For b/23696300

Change-Id: I704c9fab327b3545c58e8a9a96ac542eb7469c2a

Initialize local variables to avoid data leak

The uninitialized local variables pick up
whatever the memory content was there on stack.
This data gets sent to the remote process in
case of a failed transaction, which is a security
issue. Fixed.

(Manual merge of master change
 12ba0f57d028a9c8f4eb3afddc326b70677d1e0c )

For b/23696300

Change-Id: I665212d10da56f0803b5bb772d14c77e632ba2ab

am dc3d6af9: am bb686c25: Disregard alleged binder entities beyond parcel bounds

* commit 'dc3d6af97d521678981c773ad9f4e1da088d7870':
  Disregard alleged binder entities beyond parcel bounds

am bb686c25: Disregard alleged binder entities beyond parcel bounds

* commit 'bb686c25b214edadd1830abd056db2d570d716ff':
  Disregard alleged binder entities beyond parcel bounds

Disregard alleged binder entities beyond parcel bounds

When appending one parcel's contents to another, ignore binder
objects within the source Parcel that appear to lie beyond the
formal bounds of that Parcel's data buffer.

Bug 17312693

Change-Id: If592a260f3fcd9a56fc160e7feb2c8b44c73f514
(cherry picked from commit 27182be9f20f4f5b48316666429f09b9ecc1f22e)

Disregard alleged binder entities beyond parcel bounds

When appending one parcel's contents to another, ignore binder
objects within the source Parcel that appear to lie beyond the
formal bounds of that Parcel's data buffer.

Bug 17312693

Change-Id: If592a260f3fcd9a56fc160e7feb2c8b44c73f514
(cherry picked from commit 27182be9f20f4f5b48316666429f09b9ecc1f22e)

am 9004e7f5: am 4ff0cb44: Verify that the native handle was created

* commit '9004e7f5516c5b4a1b4178fa6a8bb4b3ca4ddcd0':
  Verify that the native handle was created

am 4ff0cb44: Verify that the native handle was created

* commit '4ff0cb4404db31576cd8a81ca5ef3b044d492904':
  Verify that the native handle was created

Verify that the native handle was created

The inputs to native_handle_create can cause an overflowed allocation,
so check the return value of native_handle_create before accessing
the memory it returns.

Bug:19334482
Change-Id: I1f489382776c2a1390793a79dc27ea17baa9b2a2
(cherry picked from commit eaac99a7172da52a76ba48c26413778a74951b1a)

am dc2d031a: am da9fd70d: am 2758eb2e: am fde92eb0: Update maxNumber to be smaller.

* commit 'dc2d031a7ee05725ad3d8cab4887d6c7a4063967':
  Update maxNumber to be smaller.

am da9fd70d: am 2758eb2e: am fde92eb0: Update maxNumber to be smaller.

* commit 'da9fd70de125b0e6df4fb6285f538be9133c7b22':
  Update maxNumber to be smaller.

am 2758eb2e: am fde92eb0: Update maxNumber to be smaller.

* commit '2758eb2e67d935cf1f04e3d713438c6ac7fe8b89':
  Update maxNumber to be smaller.

am fde92eb0: Update maxNumber to be smaller.

* commit 'fde92eb0ffcc37106d5fe85bf1f1ba30d8639d17':
  Update maxNumber to be smaller.

Update maxNumber to be smaller.

There shouldn't be more than 4096 fds (probably signficantly smaller) and
there shouldn't be more than 4096 ints.

Bug: 18076253

Change-Id: I3a3e50ee3078a4710e9737114e65afc923ed0573

resolved conflicts for merge of d6308379 to lmp-dev

Change-Id: I92ed61b6fdfe458cf5f8bfd6f0b37ff736280500

am 76ebd319: am 3d89edca: am e6f7a44e: Fix for corruption when numFds or numInts is too large.

* commit '76ebd319d96494049a2a598f4449c0ec417220f6':
  Fix for corruption when numFds or numInts is too large.

am 3d89edca: am e6f7a44e: Fix for corruption when numFds or numInts is too large.

* commit '3d89edca65e07319c9ac3b9bb9889e80e8c40578':
  Fix for corruption when numFds or numInts is too large.

am e6f7a44e: Fix for corruption when numFds or numInts is too large.

* commit 'e6f7a44e835d320593fa33052f35ea52948ff0b2':
  Fix for corruption when numFds or numInts is too large.

Fix for corruption when numFds or numInts is too large.

Bug: 18076253
Change-Id: I4c5935440013fc755e1d123049290383f4659fb6

surfaceflinger: don't close fence fds after passing to queueBuffer

ANativeWindow::queueBuffer takes ownership of the fence fd passed to
it, and will close it before returning. SurfaceFlinger's screenshot
code was also closing the syncFd it passed to queueBuffer. Most of the
time this meant the second close() silently failed, but in a rare race
condition the file descriptor could be reused between the two
close()s.

Bug: 17946343
Change-Id: Ib74fcb1dce52cc21328059c99b7c4c76f41aa3a5

Merge "bufferqueue: workaround: allow NULL fence with queueBuffer (DO NOT MERGE)" into lmp-dev

Add version number to SensorService dump output.

Change-Id: I64f9482ade523ec3fafe14bff14db7196e32413f

bufferqueue: workaround: allow NULL fence with queueBuffer (DO NOT MERGE)

On one device there is a bug, not yet root-caused, that causes fence
fds to not make it across binder from producer to consumer in the
IGraphicBufferProducer::queueBuffer call. Rather than returning an
error, which the producer typically treats as a fatal error, this
change allows the buffer to be queued with no fence. This avoids an
application crash at the risk of (likely single-frame) visible
corruption.

Bug: 17946343
Change-Id: I9ca89f94098c455e1e90f5f58d5336c936b04a9c

Migrate CA certificates to all users

Copies the /data/misc/keychain/cacert-* directories to all users on
the device, whereas previously they were simply copied to user 0.

This is a shallow copy so anything that wasn't supposed to be there
will disappear.

Bug: 17811821
Change-Id: Iae5909ab8d5efdb83c9c8fdf0e10ab7060d022cc

media: add kMetadataBufferTypeGraphicBuffer

Bug: 17935149
Change-Id: I1c26d1e83d8fa0a9ccdb25f6f3b19a86b1dc6f37

Improve ANR diagnostics.

Print more details about the exact reason that an ANR has occurred.
Also start checking that the window actually has a registered
input connection that is not in a broken state.  These windows
are supposed to be cleaned up by the window manager promptly
as if the app had crashed but the pattern of ANRs we are observing
suggests that broken windows might be sticking around longer than
they should.

Bug: 17721767
Change-Id: Ie2803a3fa9642381ecadc198fec15e1b70d93c20

Fix broken error check in Parcel::readBlob

mmap returns MAP_FAILED (which is -1) and not NULL on
failure.

Diagnosed by cferris.

bug: 17909809

Change-Id: I609788ebf94742ef88af002d2d3f3bc9b9e520ac

Change ordering of memory allocation and calling Thread::run().

In some cases this is causing a crash as device.poll is called with
NULL.

Bug: 17896339
Change-Id: Id431599f2c661338c355c7081b6602f8449a9198

Merge "Parcel: extra validation/debug code for writeDupFileDescriptor" into lmp-dev

Parcel: extra validation/debug code for writeDupFileDescriptor

Temporary extra debug validation for b/17477219: a Parcel recipient is
getting a positive but invalid fd unexpectedly. Trying to track down
where it's coming from.

Debug code for bug: 17477219
Change-Id: Idb1e71621025a3928c7adc88fd44790e1abd2a01

Merge "Fix sockfd leakage in SensorService." into lmp-dev

Generate the SurfaceFlinger shader cache on initialization

Blobcache is not yet enabled for surfaceflinger (as it should be).
As a temporary workaround, generate all needed shaders during
surfaceflinger initialization instead of doing the compilation
on-demand during ui transitions.

Change-Id: I14455b20a3f85f177d85c9c8b76d8ccc35379b39

Fix sockfd leakage in SensorService.

i) Call removeFd() only if the fd in the BitTube has been
previously added to the Looper. Use a flag to determine whether the fd
has been previously added or not.
ii) Increment mPendingFlushEventsToSend after holding a connectionLock.
iii) Store the number of acks that are pending in SensorEventQueue
 and send them all at once.

Bug: 17472228
Change-Id: I1ec834fea1112a9cfbd9cddd2198438793698502

Merge "Surface: cancel the dequeued buffer when requestBuffer fails" into lmp-dev

Merge "add OMX_VIDEO_AVCLevel52 constant" into lmp-dev

Merge "Add more logging for dup(fd) failure" into lmp-dev

Surface: cancel the dequeued buffer when requestBuffer fails

Partial fix for bug: 17477219
Change-Id: Ibf5a9e26e02c4be8854925a77a70f5c9c7dcf6f2

Add more logging for dup(fd) failure

Bug: 17477219
Change-Id: Ide0ae16d777c9af783023c705c18a93c00999147

add OMX_VIDEO_AVCLevel52 constant

Bug: 17676461
Change-Id: I120041e9b2ffe2a232a2419bcb5fe88cb49961cb