rtpdec_asf: Fix integer underflow that could allow remote code execution
[ffmpeg.git] / libavformat / rtpdec_asf.c
1 /*
2  * Microsoft RTP/ASF support.
3  * Copyright (c) 2008 Ronald S. Bultje
4  *
5  * This file is part of Libav.
6  *
7  * Libav is free software; you can redistribute it and/or
8  * modify it under the terms of the GNU Lesser General Public
9  * License as published by the Free Software Foundation; either
10  * version 2.1 of the License, or (at your option) any later version.
11  *
12  * Libav is distributed in the hope that it will be useful,
13  * but WITHOUT ANY WARRANTY; without even the implied warranty of
14  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the GNU
15  * Lesser General Public License for more details.
16  *
17  * You should have received a copy of the GNU Lesser General Public
18  * License along with Libav; if not, write to the Free Software
19  * Foundation, Inc., 51 Franklin Street, Fifth Floor, Boston, MA 02110-1301 USA
20  */
21
22 /**
23  * @file
24  * @brief Microsoft RTP/ASF support
25  * @author Ronald S. Bultje <rbultje@ronald.bitfreak.net>
26  */
27
28 #include "libavutil/base64.h"
29 #include "libavutil/avstring.h"
30 #include "libavutil/intreadwrite.h"
31 #include "rtp.h"
32 #include "rtpdec_formats.h"
33 #include "rtsp.h"
34 #include "asf.h"
35 #include "avio_internal.h"
36
37 /**
38  * From MSDN 2.2.1.4, we learn that ASF data packets over RTP should not
39  * contain any padding. Unfortunately, the header min/max_pktsize are not
40  * updated (thus making min_pktsize invalid). Here, we "fix" these faulty
41  * min_pktsize values in the ASF file header.
42  * @return 0 on success, <0 on failure (currently -1).
43  */
44 static int rtp_asf_fix_header(uint8_t *buf, int len)
45 {
46     uint8_t *p = buf, *end = buf + len;
47
48     if (len < sizeof(ff_asf_guid) * 2 + 22 ||
49         memcmp(p, ff_asf_header, sizeof(ff_asf_guid))) {
50         return -1;
51     }
52     p += sizeof(ff_asf_guid) + 14;
53     do {
54         uint64_t chunksize = AV_RL64(p + sizeof(ff_asf_guid));
55         if (memcmp(p, ff_asf_file_header, sizeof(ff_asf_guid))) {
56             if (chunksize > end - p)
57                 return -1;
58             p += chunksize;
59             continue;
60         }
61
62         /* skip most of the file header, to min_pktsize */
63         p += 6 * 8 + 3 * 4 + sizeof(ff_asf_guid) * 2;
64         if (p + 8 <= end && AV_RL32(p) == AV_RL32(p + 4)) {
65             /* and set that to zero */
66             AV_WL32(p, 0);
67             return 0;
68         }
69         break;
70     } while (end - p >= sizeof(ff_asf_guid) + 8);
71
72     return -1;
73 }
74
75 /**
76  * The following code is basically a buffered AVIOContext,
77  * with the added benefit of returning -EAGAIN (instead of 0)
78  * on packet boundaries, such that the ASF demuxer can return
79  * safely and resume business at the next packet.
80  */
81 static int packetizer_read(void *opaque, uint8_t *buf, int buf_size)
82 {
83     return AVERROR(EAGAIN);
84 }
85
86 static void init_packetizer(AVIOContext *pb, uint8_t *buf, int len)
87 {
88     ffio_init_context(pb, buf, len, 0, NULL, packetizer_read, NULL, NULL);
89
90     /* this "fills" the buffer with its current content */
91     pb->pos     = len;
92     pb->buf_end = buf + len;
93 }
94
95 int ff_wms_parse_sdp_a_line(AVFormatContext *s, const char *p)
96 {
97     int ret = 0;
98     if (av_strstart(p, "pgmpu:data:application/vnd.ms.wms-hdr.asfv1;base64,", &p)) {
99         AVIOContext pb;
100         RTSPState *rt = s->priv_data;
101         int len = strlen(p) * 6 / 8;
102         char *buf = av_mallocz(len);
103         av_base64_decode(buf, p, len);
104
105         if (rtp_asf_fix_header(buf, len) < 0)
106             av_log(s, AV_LOG_ERROR,
107                    "Failed to fix invalid RTSP-MS/ASF min_pktsize\n");
108         init_packetizer(&pb, buf, len);
109         if (rt->asf_ctx) {
110             av_close_input_file(rt->asf_ctx);
111             rt->asf_ctx = NULL;
112         }
113         if (!(rt->asf_ctx = avformat_alloc_context()))
114             return AVERROR(ENOMEM);
115         rt->asf_ctx->pb      = &pb;
116         ret = avformat_open_input(&rt->asf_ctx, "", &ff_asf_demuxer, NULL);
117         if (ret < 0)
118             return ret;
119         av_dict_copy(&s->metadata, rt->asf_ctx->metadata, 0);
120         rt->asf_pb_pos = avio_tell(&pb);
121         av_free(buf);
122         rt->asf_ctx->pb = NULL;
123     }
124     return ret;
125 }
126
127 static int asfrtp_parse_sdp_line(AVFormatContext *s, int stream_index,
128                                  PayloadContext *asf, const char *line)
129 {
130     if (av_strstart(line, "stream:", &line)) {
131         RTSPState *rt = s->priv_data;
132
133         s->streams[stream_index]->id = strtol(line, NULL, 10);
134
135         if (rt->asf_ctx) {
136             int i;
137
138             for (i = 0; i < rt->asf_ctx->nb_streams; i++) {
139                 if (s->streams[stream_index]->id == rt->asf_ctx->streams[i]->id) {
140                     *s->streams[stream_index]->codec =
141                         *rt->asf_ctx->streams[i]->codec;
142                     rt->asf_ctx->streams[i]->codec->extradata_size = 0;
143                     rt->asf_ctx->streams[i]->codec->extradata = NULL;
144                     av_set_pts_info(s->streams[stream_index], 32, 1, 1000);
145                 }
146            }
147         }
148     }
149
150     return 0;
151 }
152
153 struct PayloadContext {
154     AVIOContext *pktbuf, pb;
155     uint8_t *buf;
156 };
157
158 /**
159  * @return 0 when a packet was written into /p pkt, and no more data is left;
160  *         1 when a packet was written into /p pkt, and more packets might be left;
161  *        <0 when not enough data was provided to return a full packet, or on error.
162  */
163 static int asfrtp_parse_packet(AVFormatContext *s, PayloadContext *asf,
164                                AVStream *st, AVPacket *pkt,
165                                uint32_t *timestamp,
166                                const uint8_t *buf, int len, int flags)
167 {
168     AVIOContext *pb = &asf->pb;
169     int res, mflags, len_off;
170     RTSPState *rt = s->priv_data;
171
172     if (!rt->asf_ctx)
173         return -1;
174
175     if (len > 0) {
176         int off, out_len = 0;
177
178         if (len < 4)
179             return -1;
180
181         av_freep(&asf->buf);
182
183         ffio_init_context(pb, buf, len, 0, NULL, NULL, NULL, NULL);
184
185         while (avio_tell(pb) + 4 < len) {
186             int start_off = avio_tell(pb);
187
188             mflags = avio_r8(pb);
189             if (mflags & 0x80)
190                 flags |= RTP_FLAG_KEY;
191             len_off = avio_rb24(pb);
192             if (mflags & 0x20)   /**< relative timestamp */
193                 avio_skip(pb, 4);
194             if (mflags & 0x10)   /**< has duration */
195                 avio_skip(pb, 4);
196             if (mflags & 0x8)    /**< has location ID */
197                 avio_skip(pb, 4);
198             off = avio_tell(pb);
199
200             if (!(mflags & 0x40)) {
201                 /**
202                  * If 0x40 is not set, the len_off field specifies an offset
203                  * of this packet's payload data in the complete (reassembled)
204                  * ASF packet. This is used to spread one ASF packet over
205                  * multiple RTP packets.
206                  */
207                 if (asf->pktbuf && len_off != avio_tell(asf->pktbuf)) {
208                     uint8_t *p;
209                     avio_close_dyn_buf(asf->pktbuf, &p);
210                     asf->pktbuf = NULL;
211                     av_free(p);
212                 }
213                 if (!len_off && !asf->pktbuf &&
214                     (res = avio_open_dyn_buf(&asf->pktbuf)) < 0)
215                     return res;
216                 if (!asf->pktbuf)
217                     return AVERROR(EIO);
218
219                 avio_write(asf->pktbuf, buf + off, len - off);
220                 avio_skip(pb, len - off);
221                 if (!(flags & RTP_FLAG_MARKER))
222                     return -1;
223                 out_len     = avio_close_dyn_buf(asf->pktbuf, &asf->buf);
224                 asf->pktbuf = NULL;
225             } else {
226                 /**
227                  * If 0x40 is set, the len_off field specifies the length of
228                  * the next ASF packet that can be read from this payload
229                  * data alone. This is commonly the same as the payload size,
230                  * but could be less in case of packet splitting (i.e.
231                  * multiple ASF packets in one RTP packet).
232                  */
233
234                 int cur_len = start_off + len_off - off;
235                 int prev_len = out_len;
236                 void *newmem;
237                 out_len += cur_len;
238                 if (FFMIN(cur_len, len - off) < 0)
239                     return -1;
240                 newmem = av_realloc(asf->buf, out_len);
241                 if (!newmem)
242                     return -1;
243                 asf->buf = newmem;
244                 memcpy(asf->buf + prev_len, buf + off,
245                        FFMIN(cur_len, len - off));
246                 avio_skip(pb, cur_len);
247             }
248         }
249
250         init_packetizer(pb, asf->buf, out_len);
251         pb->pos += rt->asf_pb_pos;
252         pb->eof_reached = 0;
253         rt->asf_ctx->pb = pb;
254     }
255
256     for (;;) {
257         int i;
258
259         res = av_read_packet(rt->asf_ctx, pkt);
260         rt->asf_pb_pos = avio_tell(pb);
261         if (res != 0)
262             break;
263         for (i = 0; i < s->nb_streams; i++) {
264             if (s->streams[i]->id == rt->asf_ctx->streams[pkt->stream_index]->id) {
265                 pkt->stream_index = i;
266                 return 1; // FIXME: return 0 if last packet
267             }
268         }
269         av_free_packet(pkt);
270     }
271
272     return res == 1 ? -1 : res;
273 }
274
275 static PayloadContext *asfrtp_new_context(void)
276 {
277     return av_mallocz(sizeof(PayloadContext));
278 }
279
280 static void asfrtp_free_context(PayloadContext *asf)
281 {
282     if (asf->pktbuf) {
283         uint8_t *p = NULL;
284         avio_close_dyn_buf(asf->pktbuf, &p);
285         asf->pktbuf = NULL;
286         av_free(p);
287     }
288     av_freep(&asf->buf);
289     av_free(asf);
290 }
291
292 #define RTP_ASF_HANDLER(n, s, t) \
293 RTPDynamicProtocolHandler ff_ms_rtp_ ## n ## _handler = { \
294     .enc_name         = s, \
295     .codec_type       = t, \
296     .codec_id         = CODEC_ID_NONE, \
297     .parse_sdp_a_line = asfrtp_parse_sdp_line, \
298     .alloc            = asfrtp_new_context, \
299     .free             = asfrtp_free_context, \
300     .parse_packet     = asfrtp_parse_packet,   \
301 }
302
303 RTP_ASF_HANDLER(asf_pfv, "x-asf-pf",  AVMEDIA_TYPE_VIDEO);
304 RTP_ASF_HANDLER(asf_pfa, "x-asf-pf",  AVMEDIA_TYPE_AUDIO);