Automatic translation import

Change-Id: I052bf8b0f683d45faeb500265605299f6fe24176

Select only preinstalled Spell Checker Services

When we are setting a new spell checker as the default one in
Secure.Settings, TSMS#findAvailSpellCheckerLocked can pick up
any available spell checker service. This violates the principle
that user should be warned whenever we are setting an untrusted
spell checker service as the default service, since the warning
dialog is never shown.

Fixes: 64764051
Bug: 118694079
Test: Manually as follows:
1. Open 'packages/inputmethods/LatinIME/java/AndroidManifest.xml'
     and remove 'AndroidSpellCheckerService'
2. lunch aosp_buillhead-userdebug && make -j
3. Flash the image
4. adb shell dumpsys textservices
    -> no spell checker is recognized
5. adb shell settings get secure selected_spell_checker
    -> null
6. tapas SampleSpellCheckerService
7. make -j
8. adb install -r $OUT/system/app/SampleSpellCheckerService/SampleSpellCheckerService.apk
9. adb shell dumpsys textservices
    -> SampleSpellCheckerService is recognized
10. adb shell settings get secure selected_spell_checker
    -> null

Change-Id: I16f12293d15258c9148677c7ee09fe6dcf81e81d
Merged-In: Idab3ecc246fe9344a09e6907a0ba39f8ea6506f9
(cherry picked from commit ed5973b8a8a2c0f0fc1f39c59c33f81882f41405)

RESTRICT AUTOMERGE Do not linkify text with RLO/LRO characters.

Also don't show smart actions for selections in text with unsupported
characters.

Bug: 116321860
Test: runtest -x cts/tests/tests/text/src/android/text/util/cts/LinkifyTest.java

Change-Id: Id271cab8aef6b9b13ef17f1a8654c7616f75cf13
(cherry picked from commit 73f398d306a8acf2dbb1dcff4042ecbaec5506a3)

Return WiFi data usage for WiFi-only devices

Fixes "0B of data used" in "Data Usage" summary highlight
in Settings if Telephony is not present or turned off.

Reported-By: L.W Reek <syphyr@gmail.com>
Refactored-By: Michael W <baddaemon87@gmail.com>
Signed-off-by: Vasyl Gello <vasek.gello@gmail.com>
Change-Id: I9623054c2e6e70060e65e93b18a11e8fb281d5d7

RESTRICT AUTOMERGE: Recover shady content:// paths.

The path-permission element offers prefix or regex style matching of
paths, but most providers internally use UriMatcher to decide what
to do with an incoming Uri.

This causes trouble because UriMatcher uses Uri.getPathSegments(),
which quietly ignores "empty" paths.  Consider this example:

    <path-permission android:pathPrefix="/private" ... />

    uriMatcher.addURI("com.example", "/private", CODE_PRIVATE);

    content://com.example//private

The Uri above will pass the security check, since it's not
technically a prefix match.  But the UriMatcher will then match it
as CODE_PRIVATE, since it ignores the "//" zero-length path.

Since we can't safely change the behavior of either path-permission
or UriMatcher, we're left with recovering these shady paths by
trimming away zero-length paths.

Bug: 112555574
Test: cts-tradefed run cts -m CtsAppSecurityHostTestCases -t android.appsecurity.cts.AppSecurityTests
Change-Id: Ibadbfa4fc904ec54780c8102958735b03293fb9a
(cherry picked from commit a1ec7b115cc378f0547f10cf1074a5248d42d94f)

Pass userId through to singleton ContentProviders

System content providers like SettingsProvider run as singleUser but
on receipt of a call make decisions based on the calling user ID.

This is right up until the caller is a system service or a cross-user-
-aware app like Settings, where putStringForUser etc. provide a
workaround for most settings but not for the few files SettingsProvider
exposes.

Change-Id: I90060c9c13e274edd71f8a16ab3a026a58b98e3e

Changing SUPL_ES=1 for SUPL end point control

SUPL_ES=1 ensures the GnssLocationProvider and related framework code
accepts incoming SMS SUPL_INIT messages with ES-bit=1
(which allow redirection of the ESLP
end-point e.g. to the current local emergency services provider when
you are travelling) only during an emergency call

Bug: 115331218
Bug: 112159033
Test: Build pass
Change-Id: I5075f7887a184ce18bb1815b35a2ce7acd8bca10
(cherry picked from commit 02f38c7284f183d5e1fc39fe56903a567ff3fc20)

Make adb use a custom prop for adb root

Change-Id: I684ba2fe939ab5c2c5fc43a7047b1b76aa2db332

Verify number of Map entries written to Parcel

Make sure the number of entries written by Parcel#writeMapInternal
matches the size written. If a mismatch were allowed, an exploitable
scenario could occur where the data read from the Parcel would not
match the data written.

Fixes: 112859604
Test: cts-tradefed run cts -m CtsOsTestCases -t android.os.cts.ParcelTest

Change-Id: I325d08a8b66b6e80fe76501359c41b6656848607
Merged-In: I325d08a8b66b6e80fe76501359c41b6656848607
(cherry picked from commit 057a01d1f38e9b46d3faa4059fdd7c8717681ea0)

RESTRICT AUTOMERGE: Hide overlay windows when requesting media projection permission.

1: Cherry-pick ag/4067454 - Setting PRIVATE_FLAG_HIDE_NON_SYSTEM_OVERLAY_WINDOWS
updateNonSystemOverlayWindowsVisibilityIfNeeded on relayoutWindow

2: Cherry-pick ag/3650369 - If PRIVATE_FLAG_HIDE_NON_SYSTEM_OVERLAY_WINDOWS changed on
relayoutWindow() then updateNonSystemOverlayWindowsVisibilityIfNeeded

3: Add permissions to SystemUI to allow it to hide non-system overlays

Bug: 34170870
Test: manual (see bug for poc)
Change-Id: I57cb0f390d9a78e721c5ddce49a377d385002753
(cherry picked from commit 40f7b5832291ec81b921d9d7598447653d926604)

Fix crash during cursor moving on BiDi text

The crash was introduced by Ib66ef392c19c937718e7101f6d48fac3abe51ad0
The root cause of the crashing is requesting out-of-line access for the
horizontal width. This invalid access is silently ignored by
TextLine#measure() method but new implementation end up with out of
bounds access.

To makes behavior as old implementation, calling getHorizontal instead
of accessing measured result array.

Bug: 78464361, 111580019
Test: Manually done
Change-Id: I5c5778718f6b397adbb1e4f2cf95e9f635f6e5c8
(cherry picked from commit 960647d582911ae7ab8b9491097898e6c313aaf1)
Merged-In: I5c5778718f6b397adbb1e4f2cf95e9f635f6e5c8
(cherry picked from commit a1076fdaa54ebf56bb32bea43fb278f7470ff307)

DO NOT MERGE. Persistable Uri grants still require permissions.

When FLAG_GRANT_PERSISTABLE_URI_PERMISSION is requested, we still
need to check permissions between the source and target packages,
instead of shortcutting past them.

The spirit of the original change is remains intact: if the caller
requested FLAG_GRANT_PERSISTABLE_URI_PERMISSION, then we avoid
returning "-1", which would prevent the grant data structure from
being allocated.

Bug: 111934948
Test: atest android.appsecurity.cts.AppSecurityTests
Change-Id: Ief0fc922aa09fc3d9bb6a126c2ff5855347cd030
Merged-In: Ief0fc922aa09fc3d9bb6a126c2ff5855347cd030
(cherry picked from commit d6a6e7127cc341ca875d9d13cf7a864d9f20b479)

Always create grant structures when persistable.

Certain apps may already hold permissions to an underlying provider,
but they expect APIs like takePersistableUriPermission() and
getPersistedUriPermissions() to work when a permission grant was
extended with FLAG_GRANT_PERSISTABLE_URI_PERMISSION.

Test: builds, boots
Bug: 31239684
Change-Id: I4b21c57956b70133ecadb50d0d3ee339f41e2260

Optimise the hit test algorithm

Layout#getOffsetForHorizontal was running in O(n^2) time, where n is the
length of the current line. The method is used when a touch event
happens on a text line, to compute the cursor offset (and the character)
where it happened. Although this is not an issue in common usecases,
where the number of characters on a line is relatively small, this can
be very inefficient as a consequence of Unicode containing 0-width
(invisible) characters. Specifically, there are characters defining the
text direction (LTR or RTL), which cause our algorithm to touch the
worst case quadratic runtime. For example, a person is able to send a
message containing a few visible characters, and also a lot of these
direction changing invisible ones. When the receiver touches the message
(causing the Layout#getOffsetForHorizontal method to be called), the
receiver's application would become not responsive.

This CL optimizes the method to run in O(n) worst case. This is achieved
by computing the measurements of all line prefixes at first, which can
be done in a single pass. Then, all the prefix measurement queries will
be answered in O(1), rather than O(n) as it was happening before.

Bug: 79215201
Test: manual testing
Change-Id: Ib66ef392c19c937718e7101f6d48fac3abe51ad0
Merged-In: Ib66ef392c19c937718e7101f6d48fac3abe51ad0

Add support for search in DownloadManager.

Bug: 26524617
Change-Id: I41c0f92381bec8ad06db73b25ec67466f368b55c

DO NOT MERGE. Extend SQLiteQueryBuilder for update and delete.

Developers often accept selection clauses from untrusted code, and
SQLiteQueryBuilder already supports a "strict" mode to help catch
SQL injection attacks.  This change extends the builder to support
update() and delete() calls, so that we can help secure those
selection clauses too.

Bug: 111085900
Test: atest packages/providers/DownloadProvider/tests/
Test: atest cts/tests/app/src/android/app/cts/DownloadManagerTest.java
Test: atest cts/tests/tests/database/src/android/database/sqlite/cts/SQLiteQueryBuilderTest.java
Change-Id: Ib4fc8400f184755ee7e971ab5f2095186341730c
Merged-In: Ib4fc8400f184755ee7e971ab5f2095186341730c
(cherry picked from commit 506994268bc4fa07d8798b7737a2952f74b8fd04)

DO NOT MERGE. Execute "strict" queries with extra parentheses.

SQLiteQueryBuilder has a setStrict() mode which can be used to
detect SQL attacks from untrusted sources, which it does by running
each query twice: once with an extra set of parentheses, and if that
succeeds, it runs the original query verbatim.

This sadly doesn't catch inputs of the type "1=1) OR (1=1", which
creates valid statements for both tests above, but the final executed
query ends up leaking data due to SQLite operator precedence.

Instead, we need to continue compiling both variants, but we need
to execute the query with the additional parentheses to ensure
data won't be leaked.

Test: atest cts/tests/tests/database/src/android/database/sqlite/cts/SQLiteQueryBuilderTest.java
Bug: 111085900
Change-Id: I6e8746fa48f9de13adae37d2990de11c9c585381
Merged-In: I6e8746fa48f9de13adae37d2990de11c9c585381
(cherry picked from commit 57b04a86802ff879af78e782a8582462323e34e7)

Automatic translation import

Change-Id: Ie387b1de461949f51185c9616dbf8349de119b23

Backport Prevent shortcut info package name spoofing

Test: cts-tradefed run cts -m CtsShortcutManagerTestCases -t android.content.pm.cts.shortcutmanager.ShortcutManagerFakingPublisherTest
Bug: 109824443

Change-Id: I90443973aaef157d357b98b739572866125b2bbc
Merged-In: I78948446a63b428ae750464194558fd44a658493
(cherry picked from commit 9e21579a11219581a0c08ff5dd6ac4dc22e988a4)

Fix TrackInfo parcel write

Bug: 77600398
Change-Id: Ia316f1c5dc4879f6851fdb78fe8b9039579be7bc
(cherry picked from commit 0d2dc943dcaa3d7c8479e22ae62be9753ea2643c)

Resolve inconsistent parcel read in NanoAppFilter

Bug: 77599679
Test: Compile only
Change-Id: Ib417a5cb4d51744442d2fb14437cabbe5fd1c266
(cherry picked from commit abe5a73a4a81e312a1690fbc10a6b99ce98b699a)

Make safe label more safe

* limit the absolute maximum size of the label to 50000 characters
[which is probably far more than necessary, but, can be dialed down]

* use a string buffer while processing the string [instead of creating
multiple string objects]

Bug: 62537081
Test: Manual. Install APK in bug and see that it can be uninstalled
Change-Id: Ibf63c2691ad7438a123e92110d95b1f50050f8b1
Merged-In: Ibf63c2691ad7438a123e92110d95b1f50050f8b1
(cherry picked from commit 2263da9539daef134395226a2718ba2d7af7547d)

ResStringPool: Prevenet boot loop from se fix

Changes the logs adding in a previous security fix to warnings so
devices with malformed APKs currently on them will not undergo DOS when
they are upgraded to P.

Bug: 79724567
Test: run cts -m CtsAppSecurityHostTestCases \
          -t android.appsecurity.cts.CorruptApkTests

Change-Id: Ied54e4bb14abdaf79da562022c7ea6075187c1f8
(cherry picked from commit f05f47b2c1838529e682ad8f931d3da72244b1a1)
(cherry picked from commit c31cf80008fdb06ea8e1eab9764096653e7854b1)

Fix DynamicRefTable::load security bug

DynamicRefTables parsed from apks are missing bounds checks that prevent
buffer overflows. This changes verifies the bounds of the header before
attempting to preform operations on the chunk.

Bug: 79488511
Test: run cts -m CtsAppSecurityHostTestCases \
        -t android.appsecurity.cts.CorruptApkTests

Change-Id: I02c8ad957da244fce777ac68a482e4e8fa70f846
Merged-In: I02c8ad957da244fce777ac68a482e4e8fa70f846
(cherry picked from commit 18a6ada4aa136da4f50f03fff91d61d448ced195)

Remove unnecessary casts in postUpdateSlider()

Change-Id: I1515b6b5c0859498668be66caeefe53fca20d0c8

Fix the "Alarm volume" icon is displayed incorrectly

Symptom:
1. Set Alarm volume to 0 on Sound & notification screen, then tap
Back key and reopen the screen.
2. Set Alarm volume up to 1 or larger, then alarm icon changes to
unmute.
3. Set Alarm volume down to 0, then the icon doesn't change to
mute. There expected the icon should change to mute one.

Detail and sample:
SeekBarVolumizer manages a variable mLastAudibleStreamVolume.
This variable decides whether it executes mute procedure or not.
When this variable is 0, it will not execute mute procedure.
Because the condition to execute mute proceduce is below.
-  lastAudibleVolume * (mute ? -1 : 1) < 0
What original code will not update this variable from constructor
is one of problems. So once the icon changes to unmute one,
the icon will never change to mute one.

Solution:
Changed the condition as it doesn't depend on value of
lastAudibleVolume.

Bug: 30265487

Change-Id: I42165f39d1f344169674c09a045b6fb2bb25db4d

PhoneWindowManager: Allow torch and track skip during ambient display

(Backport to cm-14.1)

This allows long press power button for torch and long press
volume buttons for track skip to work during ambient display.

sam3000/razorloves: partial pick from:

Author: ezio84 <brabus84@gmail.com>
Date:   Fri Feb 2 01:24:34 2018 -0500
    base: Support binding the power button to flashlight
    Thanks to beanstown106 for the initial longpress action calls in
    PhoneWindowManager (improved by lineage guys)
    [cut]
    Allow torch action also on ambient display
    Change-Id: I12da044f86c7b625872607529cf8524615cf576b

Author: ezio84 <brabus84@gmail.com>
Date:   Sun, 7 Jan 2018 21:24:53 +0100
    Fix volume rocker skip track on Ambient Display and Lift to Wake
    we need to check if dream service is dozing before checking
    keyguard status
    Change-Id: Ic3a6c830496188bb6edf27043cd24eb2d553bb82

Change-Id: I75f46a0dbfbc2308e51bca73fbaa9e646f73d9ab

Fix wrong peek height of the notification panel

From N, the topmost notification slides in expanded from the top, not collapsed.
(https://android.googlesource.com/platform/frameworks/base/+/d1ad9ab3121cb54387c5d2b71b48708dcaed5c43)
But when peek from status bar, the peek height was measured with collapsed height.
Therefore fix the peek height with expanded height of the topmost notification.

Test: manual - Test peeking from status bar with expandable topmost notification.
Change-Id: I46173c9e82a1221b543133c38ec6aaf746244011
(cherry picked from commit c2ed273ca592e008917e74ad1f3ce9c9ccddd041)
(cherry picked from commit 09b798ab2041d792056a64562f73c8b11997b42e)

Fix an error with hardware keyboard shortcuts

Fixes the error which prevents keyboard shortcuts working when there is
no assistant application set up.

Change-Id: I2dd4af332ce58229e22007c154df4d38782d693a

Tuner: Move clock seconds option to status bar settings

Change-Id: I532c179f06b934009d48433e50b69660247ee295

DO NOT MERGE Truncate newline and tab characters in BluetoothDevice name

Test: manual
Bug: 73173182
Change-Id: I7f2201cab36adf7f01d1a794d783cb78a536811f
(cherry picked from commit 24da173b63b17a0bc6c80b2fcfefa7fe4574a15b)
CVE-2018-9432

keyguard: Handle left icon visibility properly with wifi only devices

When telephony isn't available and the left icon has not yet been set to
a custom option, the left icon should be hidden.

This makes updateLeftAffordanceIcon and updateLeftButtonVisibility work
in a similar way to determine the icon visibility.

Change-Id: Ibb63ecef3c3cad73a19c04c85eccb93b423d5e80

SystemUI: Toggle USB tethering only when USB is connected

Pressing the tile when unplugged causes USB tethering to turn on
as soon as the cable is connected. This can happen long after the
tile has been pressed, so don't do anything if unplugged.

Change-Id: Ib8bbdc758097ca7af5d4e7c3483c28ba42fb9ce1

Rework thumbnail cleanup

Bug: 63766886
Test: ran CTS tests
Change-Id: I1f92bb014e275eafe3f42aef1f8c817f187c6608
(cherry picked from commit 6d2096f3889d38da60099b1b5678347de4f042bf)
CVE-2018-9379

ResStringPool: Fix security vulnerability

Adds detection of attacker-modified size and data fields passed to
ResStringPool::setTo(). These attacks are modified apks that AAPT would
not normally generate. In the rare case this occurs, the installation
cannot be allowed to continue.

Bug: 71361168
Bug: 71360999
Test: run cts -m CtsAppSecurityHostTestCases \
          -t android.appsecurity.cts.CorruptApkTests

Change-Id: If7eb93a9e723b16c8a0556fc4e20006aa0391d57
Merged-In: If7eb93a9e723b16c8a0556fc4e20006aa0391d57
(cherry picked from commit 7e54c3f261d81316b75cb734075319108d8bc1d1)
CVE-2018-9338, CVE-2018-9340

Automatic translation import

Change-Id: I4dc5e6ed7c2e4a636f9d23c112d81dbc69fbf255

[BACKPORT] SystemUI: Fix alignment glitch with brightness mirror

Alignment of brightness mirror dialog was not exatly same as the
QS brightness dialog, which produced a visual glitch of slider
thumb shifting whenever we change brightness.
This is solved by dynamically handling the visibility of
mirror brightness icon, gone when brightness icon is off and
invisible when brightness icon is on, so that both mirror and
QS slider are equally aligned.

Change-Id: Ifb85643db669ee8d7473d3c48e7e4733428a77d6

ConnectivityService: move reportNetworkConnectivity to handler

This patch moves reportNetworkConnectivity onto the handler of
ConnectivityService.

This allows:
  - to inspect NetworkAgentInfo on the ConnectivityService handler,
    which is always more correct than doing so on a Binder thread.
  - to improve locking policies around NetworkAgentInfo.

Test: $ runtest frameworks-net
Bug: 37119619, 36902662
Change-Id: I49a765826e65c29a1995242290e5e7544112c94e

ConnectivityService: safer locking

This path changes a dangerous lock path in reportNetworkConnectivity().
This methods is called outside of the main ConnectivityService handler
and takes a lock on a specific NetworkAgentInfo whose connectivity
status is being reported.

While this lock is held, reportNetworkConnectivity() goes on and query
the network policy state for that network, which may ends into
NetworkPolicyManagerService.

Instead, the lock on NetworkAgentInfo is only held long enough to make a
copy of LinkProperties, which is then passed to
NetworkPolicyManagerService without that lock.

Bug: 36902662
Test: could not repro b/36902662, reportNetworkConnectivity() works.
      $ runtest frameworks-net

Change-Id: Iac4b75bcecbdddb0ac695c8b1a87ae755f62f47f

Revert "Prevent deadlock when using always-on legacy VPNs"

A different fix will be applied with follow-up changes. This also
doesn't appear to completely fix the problem (REGRESSION-1963).

This reverts commit ac496f4a070a5b050217335f512e0bb44cd90f32.

Change-Id: Ie77e2d4c58ce8c6be68f125d3311ecced6e1e7ca

Fix gear not showing when rotation or RTL changed

When rotation or RTL changed, gear button's translationX should be
updated to new position.

Test: (Rotation) Swipe notification to left > Gear is showing on the
right > Rotate the device > Gear button should be visible
Test: (RTL) Swipe notification to left > Set RTL language
> Swipe notification to right in RTL configuration
> Gear button should be visible

Change-Id: I04a657d380b746b30585ff8159b7a9b4865f423a

SystemUI: Network Traffic [1/3]

*) Backport to cm-14.1

*) Add cmsdk internal NetworkTraffic to the statusbar
   using the CMStatusBarItemHolder helper.

Change-Id: Iba82b622099a415da5fe6d4ae923e3139b6dca52

SystemUI: Add CM statusbar item holder

*) Backport to cm-14.1

*) To be used as a layout to hold one or more cmsdk status bar
   feature classes.

*) Propagates visibility and tint information via interfaces
   defined in cmsdk internal.

*) Supports adding further interfaces without impacting existing use
   cases.

Change-Id: I3b98837e076ba1cb0d4ca6e7588c1e917f81e65a

Add NETWORK_STACK permission

Add a new permission that only allows other system services to call
networking related methods.  This permission is intended to prevent
other apps from calling these methods that might leave networking
services in intermediate states.

Bug: 36538042
Test: build, run wifi unit tests, boots, wifi connects
Change-Id: Icba6ad5280e9a8863bd1c706ca34b7add8de5294

Copy PermissionChecker from support lib and use in RcognitionService

Fixes: 73511076, 73311729
Test: presubmit
Change-Id: Ie98f67ffee4744050ac85d8b229370a16a76a194
(cherry picked from commit 726b51a26e9a54b7352aad90ed15edccc44dd60d)
(cherry picked from commit 5a28e533fe8865ed371b5c0fd909a4ec89f63633)
CVE-2017-13316

Fixed Security Vulnerability of DcParamObject

The writeToParcel and readFromParcel is not symmetry, fixed it.

Test: no test
Bug: 70721937
Change-Id: I01f6f6b2ab778ee8b638d9b69fe0a6b9aa7ee395
(cherry picked from commit 8c55a70728fdb0a7b0585fac08629b0137dca51e)
CVE-2017-13315

Add permission check to setAllowOnlyVpnForUids

Bug: 63000005
Test: runtest frameworks-net -c com.android.server.connectivity.VpnTest
Test: cts-tradefed run cts-dev -m CtsDevicePolicyManagerTestCases -t com.android.cts.devicepolicy.MixedDeviceOwnerTest#testAlwaysOnVpnLockDown
Merged-In: Ia1a82ee73d8617f3124032986fe6c09c14bf7752
Change-Id: Ia1a82ee73d8617f3124032986fe6c09c14bf7752
(cherry picked from commit f915e04d5010c4dfffad263fa70c1e412e856314)
CVE-2017-13314

Verify last array's length in readFromParcel

Length of the last array in readFromParcel should be the same as
value of mNextIndex.

Test: PoC app in the bug
Bug: 73252178
Change-Id: I69f935949e945c3a036b19b4f88684d906079ea5
(cherry picked from commit 3b8bc2e45048527d7682b24b96957c34433da382)
CVE-2017-13311

Update internal ViewPager's SavedState to match Support Library version

Merged-In: Ic4569b21d8a26a62bba91742b442f0c3ea8bcc9e
Change-Id: I17d085be9ce1a139e75264f1e715df7f565cd41b
Fixes: 71992105
Test: manual
(cherry picked from commit 187964aca12115c7ab66f59d1ebb95e4f4130ac6)
CVE-2017-13310

Use calling user ID when calling isDeviceLocked

If isDeviceLocked is called with clearCallingIdentity,
original userId should be explicitly passed

Bug: 67621847
Test: Manual
Change-Id: I2bcb92572898811cc96bda1149ef806e6239e929

Automatic translation import

Change-Id: I6ca8357face163515c2d59778a9a350fedc0501a

GlobalActions: Don't timeout a partial screenshot

* A partial screenshot shouldn't timeout when the user might still be
  adjusting the rectangle
* This also fixes an issue, when views were removed from WindowManager
  multiple times, resulting in a crash

BUGBASH-1500

Change-Id: I5916545e9293717a96ecf191c9fb20db536cc730

Automatic translation import

Change-Id: Ie3feee7796d76c1eafd62e9807ef90105c5d31d5

Adjust URI host parsing to stop on \ character.

The WHATWG URL parsing algorithm [1] used by browsers says that for
"special" URL schemes (which is basically all commonly-used
hierarchical schemes, including http, https, ftp, and file), the host
portion ends if a \ character is seen, whereas this class previously
continued to consider characters part of the hostname.  This meant
that a malicious URL could be seen as having a "safe" host when viewed
by an app but navigate to a different host when passed to a browser.

[1] https://url.spec.whatwg.org/#host-state

Bug: 71360761
Test: vogar frameworks/base/core/tests/coretests/src/android/net/UriTest.java (on NYC branch)
Test: cts -m CtsNetTestCases (on NYC branch)
Change-Id: Id53f7054d1be8d59bbcc7e219159e59a2425106e
(cherry picked from commit fa3afbd0e7a9a0d8fc8c55ceefdb4ddf9d0115af)
(cherry picked from commit 0b57631939f5824afef06517df723d2e766e0159)

Check for null-terminator in ResStringPool::string8At

All other stringAt methods check for null termination. Be consistent
so that upper levels don't end up with huge corrupt strings.

Bug: 62537081
Test: none
Change-Id: I17bdfb0c1e34507b66c6cad651bbdb12c5d4c417
(cherry picked from commit 3d35a0ea307693a97583a61973e729a5e7db2687)
(cherry picked from commit 97f8cb01149b35b1832c7f9efe85ff19edf1083e)
(cherry picked from commit 5ec65ae909a85d13d03c030be357c8c14a50d306)
(cherry picked from commit a2a36541f0b3603335e74da0a8d2b6a9d5bcec3f)

[RTT] ParcelableRttResults parcel code fix

ParcelableRttResults was unparceled incorrectly.

Bug: 70398564
Test: exploit provided in bug no longer works
Change-Id: Ifd6de547e9861bbebc399b43d0cc2899a8160813
(cherry picked from commit e1e5a2409c8bef2481e68d9329f87bb8037afa45)
(cherry picked from commit 5a3d2708cd2289a4882927c0e2cb0d3c21a99c02)

Fix VerifyCredentialResponse parcelling code

There was an asymmetry between parcelling and unparcelling of
VerifyCredentialResponse that could lead to type confusion if
packed with other objects in a Parcel.

Test: none
Bug: 71714464
Change-Id: Icff68879e249422ccca49f2bb7db85c35b4cb353
(cherry picked from commit 54813e988884f0d604d5358569f10feda8622f46)
(cherry picked from commit 09ba8fdffd9c8d74fdc6bfb51bcebc27fc43884a)

Automatic translation import

Change-Id: I6cef227b477e9973eed48ed4345bbbc684f48f74

SettingsProvider: Remove deprecated def_force_disable_navkeys default

* It's been moved to cmsdk

Change-Id: I281f056a0c58998e639de69b9658f89eb5bc1046

Update tint of resource icons of third party QS tiles

Since commit d2274f848c586d86404ae14dfb8d11a02ee4867a
("Fix animations for app QS tiles."), the tint of resource icons of
third party tiles doesn't change when the tile status changes. Keep
track of the tint so that changing the status of the icon will cause
an update of the icon.

BUGBASH-1239

Change-Id: Ib2a91a00b6912ae85f37dd096e62bb6b979e9fc7

Automatic translation import

Change-Id: I2d1c1294839b5a3ca059db6fc9241603f65d5ad4

Automatic translation import

Change-Id: If98400e859be0cf1b18dc159c74ef3eaf3480553

SystemUI: Fix LiveDisplay tile off color

* Should match other icons when disabled.

Change-Id: Ic745d71b0eef0fca68a63e9558a43c203334e819

livedisplay: Allow tile creation before boot completed phase [2/2]

Change-Id: Ibef44d4e07da9baf296796515288c9d42aba8608

SystemUI: Fix crash when taking screenshot in partial screenshot view

Bug caused by the region selector and the animation using the same view.
This fix makes a dedicated view for the selector.

Change-Id: I12532ece4b3a742cba8f5c3852813fa339a04341

GlobalActions: Misc power menu cleanup

* Update drawable size to match AOSP icons
* Update airplane mode drawables
* Remove unused changes to modes we don't use
* Remove dead code
* Cleanup based on lineage-15.1 bringup comments

Change-Id: I59b7246857acd34d18baaedc286a66820560fa49

GlobalActions: Fix setting ringer mode in global actions

* It looks like we missed some fixes while forward porting
  this feature from cm-13.0. Squash the following commits:

Author: Italian Quadcore <myawfulchat@gmail.com>
Date:   Tue Jun 9 10:48:25 2015 +0200

    Add Sound Panel to Power Menu (Part 1/2)

    Change-Id: I5a638b1817b3de82d891935e0071c6e42856c59e

Author: d34d <clark@cyngn.com>
Date:   Mon Feb 1 14:19:01 2016 -0800

    GlobalActions: Fix setting ringer mode in global actions

    It looks like we did not bring in this full feature for cm-13.0.
    This patch updates SilentModeTriStateAction to match cm-12.1 with
    one minor change.  We can no longer set the zen mode by writing to
    Global settings directly.  The ZenModeHelper class actually checks
    when a change is made and resets it.  The fix is to use
    INotificationManager.setZenMode() instead.

    Change-Id: Ib2423a19da3a2ca95f73cb92247e0a38bff8bbee
    TICKET: CYNGNOS-1808

Author: Dave Kover <kover@cyngn.com>
Date:   Tue Mar 1 13:37:57 2016 -0800

    Fix GlobalActions sound panel iconography.

    The priority and none icons were using old zen icons and did not
    match up with the status bar iconography. We are now in sync. Also
    aligning the prefix to match the other icons present in this dialog.
    Lastly, creating new drawables for the two sound options so that
    we don't clash designs with the Settings view, which also used the
    same icons.

    Change-Id: I0a0cee6c7f0f7b014a0b2cdd95b7f7e5cb8e5f38
    Ticket: CYNGNOS-2172

Author: d34d <clark@cyngn.com>
Date:   Tue Apr 12 10:13:22 2016 -0700

    GlobalActions: Always use setZenMode

    When set to silent mode, the user cannot change the ringer mode to
    vibrate or ring.  Notification manager listens for changes to the
    zen mode setting and will switch it back if there is a mismatch.
    Using INotificationManager.setZenMode takes care of changing the mode
    and keeping track of the updated change.

    Change-Id: I5139a9a8cde4ca59f64bd21cf7c184d4745a7d59
    TICKET: CYNGNOS-2417 BACON-4658

Change-Id: I5a638b1817b3de82d891935e0071c6e42856c59e

fw: GlobalActions: Always dismiss any existing dialog

The check for "mUiContext == null" is always false after the initial
dialog is created, causing the dismiss logic to never trigger.  All
code uses getUiContext() now, so the check is not necessary.  Remove
it and re-align the create/dismiss logic with AOSP.

Jira: BACON-4069

Change-Id: Ibba7b38a5fdc8410824db6d0a6f726f4a2822c9d

The DUT can't screen shot in guest mode

Change-Id: I6c40f8b5399ed1a8f9d52ddf0ed28266eea8f48c

Keyguard: Don't apply input restriction if disabled by profile

setKeyguardEnabled() applies some input restrictions when disabling
the lockscreen. This causes issues when a system profile disables the
lockscreen via this method, e.g. the home button stops working until
a profile re-enables the lockscreen with setKeyguardEnabled(). If the
current profile is disabling keyguard, don't restrict the inputs.

BUGBASH-504

Change-Id: Iaaaabecaf19a18911d276a47f826dec3dec045c1

PhoneWindowManager: Make sure KeyDisabler is always called on boot

* Otherwise, some KeyDisabler classes are left in a weird state
* Because we don't keep track of whether an initial state was ever set,
  we never call KeyDisabler on boot if the setting is set to 0
* To remedy this, keep track of whether an initial state was set

Change-Id: Ib432ed3278dd8f4f4cba3ba488879b3c1cd9c8f4

DO NOT MERGE Backporting potential usb tapjacking precaution.

Bug: 62187985
Test: manual, backport
Change-Id: Iaceff6bb1da5fbf3d80a8e85923199bd8cab06bd
MERGED-IN: I3bdcd1876cd6dbe8a728bbce74edb52ab79f3e4c
MERGED-IN: Ic58ddd6d54e96f522445e67b90760dcfed13c27d

mtp: fix double free of thumbnail data

bug: 67864232
Change-Id: I6eb51be839df12317273830521c70a4ed80f9496
(cherry picked from commit e6b98532ee03d0ac1ca93382699893172454a946)

Throw OOME if Bitmap.nativeCreate fails

Bug:33846679
Test: I6ab6cb7a3b3151641a9f9b02b0bfc484e0a4524b

This matches the old behavior, prior to switching from Java allocated
pixel memory to native allocations (b/27762775). It also better matches
what has happened - we ran out of memory. (Better than the current
behavior - NullPointerException in the Java code, or an alternative
solution of returning null, which would likely result in NPEs in the
calling code.)

Merged-In: I3958ed1106ac94fb1d3f30e044b620d984875211
Change-Id: I3958ed1106ac94fb1d3f30e044b620d984875211
(cherry picked from commit 5906a4869cdf5c39eba1d9a3125aff894c5e804d)

Adjust Uri host parsing to use last instead of first @.

Malformed authority segments can currently cause the parser to produce
a hostname that doesn't match the hostname produced by the WHATWG URL
parsing algorithm* used by browsers, which means that a URL could be seen
as having a "safe" host when checked by an Android app but actually visit
a different host when passed to a browser.  The WHATWG URL parsing
algorithm always produces a hostname based on the last @ in the authority
segment, so we do the same.

* https://url.spec.whatwg.org/#authority-state resets the "buffer", which
  is being used to build up the host name, each time an @ is found, so it
  has the effect of using the content between the final @ and the end
  of the authority section as the hostname.

Bug: 68341964
Test: vogar android.net.UriTest (on NYC branch)
Test: cts -m CtsNetTestCases (on NYC branch)
Change-Id: Idca79f35a886de042c94d6ab66787c2e98ac8376
(cherry picked from commit cd6228dd377b2a0caa02a1e6df92f3d9ae702a95)

SysUI: Add Russian translation for accessibility_battery_level_charging

Change-Id: I6594d67c572c90e44b01335bf2a0785f47bc4ecf

Automatic translation import

Change-Id: I91439c40d8349ae2a50a2ec7c6d55d541097555a

SystemUI: fix enabling burnIn protection

Enabling the setting did not work because the SYSTEMUI_BURNIN_PROTECTION
string had wrong prefix and was not registered as tunable.

Change-Id: I6a99a7616b2e980aa8d4dfd86ba82351508825b2

SystemUI: KeyGuardMonitor: Prevent ConcurrentModificationException

* Instead of accessing the original ArrayList, which might be modified
  while processing the loop, create a copy of the list and work with that
  one
* This ensures that no exception is thrown when some other part unregisters
  its listener while the list is already being processed

BUGBASH-1289

Change-Id: Ie8404d88c7c87c4ec8fcd64fdd5218b25806f24f

SystemUI: Recents: Improve code for long app titles being overlapped

* Take all buttons into account when calculating the margin for title
* Don't check every combination of buttons but just add a margin for
  each of them

Change-Id: I8e3da14ee00f0d16667866585cceef48ef1348c4

We don't want to feel deprecated...

use official api instead of deprecated internal method that prints an
error everytime we call it

Change-Id: Ie00efe5f514ff8db2b82eeade3a588a17af8cfb4

Automatic translation import

Change-Id: I434bebf88b227bc88bb7447596b8e1eab56943de

Automatic translation import

Change-Id: I264296d5b20361666503fb6eaac02e5d79722c9c

DO NOT MERGE. KEY_INTENT shouldn't grant permissions.

KEY_INTENT has no business granting any Uri permissions, so remove
any grant flags that malicious apps may have tried sneaking in.

Test: builds, boots
Bug: 32990341, 32879915
Change-Id: I657455a770c81f045ccce6abbd2291407a1cfb42
(cherry picked from commit ec733747bb428cea3b5523518c59159031f96e47)

Stop explicitly using kCallerPasses_Ownership

Bug: 65646012
Bug: 65426286

Cherry-picked from master. The original CL just updates BitmapFactory.
This also updates ExifInterface in the same way. ExifInterface.cpp no
longer existed by the time the Skia change landed.

Required for Ib7aaf367f68f8764147887d858f65ee14fa7a1d9, which fixes
the aforementioned bugs.

Test: No change in behavior, no new tests.

This enum is going away in https://skia-review.googlesource.com/c/9498,
and this method is using the default anyway.

Merged-In: I928a72851f90e84f45ce2fa49560f8ba894a8058
Merged-In: I8f6c761e50cb29476dc0784f58908ec35e3c70e9
Change-Id: I928a72851f90e84f45ce2fa49560f8ba894a8058
(cherry picked from commit adb5e0ba6d532c0d52b3bf89a1dbec4e3e7a6fd6)

Fix ClipboardService device lock check for cross profile

ClipboardService.isDeviceLocked should clear callingIdentity before
accessing KeyguardManager.

Test: bit CtsDevicePolicyManagerTestCases:com.android.cts.devicepolicy.ManagedProfileTest

Bug: 64934810
Change-Id: I81a7adac8c9d56ed801ffc1380fcbc987d5df3e6
Merged-In: I712abfe8d542cd1be9c1816f407c8912321ac480
(cherry picked from commit 6d79675e0c0e55a7d5591a123727796f52c42954)

Prevent getting data from Clipboard if device is locked

Clipboard should not return data if the device is locked. This CL checks
for device locked state before returning values from get/has functions.

Bug: 64934810
Change-Id: I856a9079fe64db0af44383fae1a9a418de959420
Merged-In: Icefac226615fe22a7735dff4ba4c3b528fb2ac12
(cherry picked from commit 0b8fa2f5e0d305f083345968a7c39fe7a6f0a158)

Clearing up invalid entries when SyncStorageEngine starts

Any app with permission WRITE_SYNC_SETTINGS could write sync settings
for authorities or accounts that are not valid. This results in invalid
data being persisted to disk which can effectively lead to a DOS style
attack. Clearing such entries on boot will make sure that a reboot fixes
any such issues.

Test: cts-tradefed run cts-dev -m CtsSyncContentHostTestCases

Bug: 35028827
Change-Id: I9e206a42508e3cba65d7523bf47fff743f47dcb2
Merged-In: I9e206a42508e3cba65d7523bf47fff743f47dcb2
(cherry picked from commit 042a478b73c3b7f7cd73f5bb1af657cfe07d0571)
(cherry picked from commit e5787fc13164856e39690e40e81d3d46839eea16)

SystemUI: Fix title text clipping when task lock button is visible

Change-Id: I8005360f932c930011d969e2913bc28efb826163

ZenModeHelper: Allow lights by default

mAllowLights is false by default, so if zen_mode is set to
ZEN_MODE_OFF, LED notifications will be suppressed. Ensure
mAllowLights is true when zen_mode is ZEN_MODE_OFF.

BUGBASH-1259

Change-Id: I979a4d9cfee4ee77c0cd3b9d6338d55961183eb7

fw/b: Return a KeyEvent instead of a boolean in KeyHandler

* Allows handlers to modify the event before sending it off
  to another KeyHandler class, to handle things like rotation

Change-Id: I481107e050f6323c5897260a5d241e64b4e031ac

SystemUI: LiveDisplay tile

Change-Id: I53d492e5cb9998268104d5750705aa5ed55d9658
Signed-off-by: Joey Rizzoli <joey@lineageos.org>

DPC should not be allowed to grant development permission

Test: cts-tradefed run cts-dev --module CtsDevicePolicyManagerTestCases --t  com.android.cts.devicepolicy.MixedDeviceOwnerTest#testPermissionGrant_developmentPermission
Test: cts-tradefed run cts-dev --module CtsDevicePolicyManagerTestCases --t  com.android.cts.devicepolicy.MixedProfileOwnerTest#testPermissionGrant_developmentPermission
Test: cts-tradefed run cts-dev --module CtsDevicePolicyManagerTestCases --t  com.android.cts.devicepolicy.MixedDeviceOwnerTest#testPermissionGrant
Test: cts-tradefed run cts-dev --module CtsDevicePolicyManagerTestCases --t  com.android.cts.devicepolicy.MixedProfileOwnerTest#testPermissionGrant
Test: Run "Permissions lockdown" test in CtsVerifier

Bug: 62623498

Merged-In: If83d8edd0eea99145421e967ae47fdc264a5cf7c

Change-Id: I129bfe850981cf0b3646b7c1cf19c8a3ec69f512
(cherry picked from commit d05d2bac845048f84eebad8060d28332b6eda259)

Add stub for setCursorVisibility

This is called by an Nvidia Shield exclusive game which crashes
if the function is not found.

Change-Id: I2aea38ad8d9dab046f351e18a91b2418d8a982b2

Prevent deadlock when using always-on legacy VPNs

The following deadlock can happen when using an always-on legacy
VPN connection:

"Binder:7444_7" prio=5 tid=94 Blocked
  at com.android.server.connectivity.Vpn.isBlockingUid(Vpn.java:-1)
  - waiting to lock <0x032141f0> (a com.android.server.connectivity.Vpn) held by thread 52
  at com.android.server.ConnectivityService.isNetworkWithLinkPropertiesBlocked(ConnectivityService.java:1041)
  - locked <0x0791429e> (a android.util.SparseArray)

"ConnectivityServiceThread" prio=5 tid=52 Blocked
  at com.android.server.ConnectivityService.getLinkProperties(ConnectivityService.java:1351)
  - waiting to lock <0x09ec3887> (a com.android.server.connectivity.NetworkAgentInfo) held by thread 103
  at android.net.ConnectivityManager.getLinkProperties(ConnectivityManager.java:1065)
  at com.android.server.connectivity.Vpn$LegacyVpnRunner.<init>(Vpn.java:1524)
  at com.android.server.connectivity.Vpn.startLegacyVpn(Vpn.java:1413)
  - locked <0x032141f0> (a com.android.server.connectivity.Vpn)

"Binder:7444_D" prio=5 tid=103 Blocked
  at com.android.server.ConnectivityService.isNetworkWithLinkPropertiesBlocked(ConnectivityService.java:1039)
  - waiting to lock <0x0791429e> (a android.util.SparseArray) held by thread 94
  at com.android.server.ConnectivityService.reportNetworkConnectivity(ConnectivityService.java:3249)
  - locked <0x09ec3887> (a com.android.server.connectivity.NetworkAgentInfo)

Lock <0x0791429e> before <0x09ec3887> in thread 103 so that thread 94
will lock <0x032141f0> when <0x09ec3887> is not locked, allowing thread
52 to complete.

BUGBASH-1197

Change-Id: Ifaf4d4dc0053dd71ab0734e3f3b1e9839eece22a

Add powerhint function that accepts an array of data

Change-Id: I9f7cf223fba8e448a9fc737c0148b6c11f5abfdb

Automatic translation import

Change-Id: I520ed5cb674edad98c2ce3dd70471a079ef34fb2

SystemUI: Profiles tile should require authentication

A profile with the option to disable secure lockscreen could be
used to bypass the lockscreen security.
Require the user to unlock their device when tapping on the profile
quick tile.

BUGBASH-1095

Change-Id: I9d63fcd9b1e3f47c9ca3374806d5ef05fe9ff32b
Signed-off-by: Joey Rizzoli <joey@lineageos.org>

Revert "Always hide protected apps from the recent tasks list"

This doesn't always have the desired effect. For example, CMParts is
now a protected component manager and can start protected activities
without requiring any authentication. This change seems to undo the
effect of FLAG_ACTIVITY_NEW_TASK that CMParts sets when it starts a
protected component, therefore, even though no new entry is added to
the recents list, the protected component replaces the entry for
CMParts. This is equivalent to adding an entry for the app to the
recents list. Forcing FLAG_ACTIVITY_NEW_TASK appears to have desired
effect (no entry for the protected app in recents), but this change
would be too intrusive and it could potentially break something else.
Setting the proper flags from the protected component manager is
probably a safer option, even though it would not be able to stop
apps from creating new entries in recents themselves.

This reverts commit 15360dfe60a2c81187e4edcaf08679100260e2f9.

Change-Id: Ie54cb6c6ddc1d1156076bce4b7ce9a5811df1460

Core: Battery warning levels are inclusive, not exclusive

* Instead of checking for the current level to be smaller than the warning
  level, already react when the warning level is reached
* Simply change of '<' to '<='

Bugbash-1100

Change-Id: Ib35b154b6117f7e26b4a3a5aee9254dda3adda12