Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Stack-overflow via deep JSON array nesting under ASan+-O0, below CJSON_NESTING_LIMIT

Aperta Adatta ai principianti
  • Qualcosa non va?
#1,093 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
68/100
Tipo di issue
Documentazione
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
c
Ambito
documentation

Direzione di ricerca

Inizia in cJSON.c individuando CJSON_NESTING_LIMIT e la documentazione o i commenti esistenti al riguardo. Esamina il reproducer del sanitizer segnalato e i dettagli di compilazione, quindi documenta che la profondità di annidamento sicura effettiva dipende dalla configurazione di compilazione, soprattutto con -O0 e ASan; il lavoro è concluso quando la documentazione del limite chiarisce questa aspettativa a chi usa il fuzzing e i sanitizer.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Summary

Under an ASan + -O0 build (the standard configuration for fuzzing/CI sanitizer runs), a deeply nested JSON array triggers a native stack overflow before CJSON_NESTING_LIMIT (1000) is ever reached, because the limit bounds the number of recursive parser calls but not the size of each call's stack frame, and ASan instrumentation plus disabled optimization inflate that frame size substantially.

This is not an exploitable issue in a normal optimized release build (verified below) — filing this as a robustness/documentation note, not a security report.

Repro

Minimized input: a JSON value consisting of 755 consecutive [ bytes, no closing brackets, no other content.

$ ./cjson_asan_o0 < deepnest_755.json
==PID==ERROR: AddressSanitizer: stack-overflow on address 0x...
    <empty stack>
SUMMARY: AddressSanitizer: stack-overflow

(No symbolized backtrace — ASan's own crash-reporting code cannot run once the stack is this exhausted, which is typical for pure stack-overflow crashes as opposed to heap-buffer-overflow.)

Build used to reproduce: cJSON.c compiled with -O0 -fsanitize=address -g, default thread/process stack size (8 MiB on the Linux machine used here). Binary search found the exact boundary on that machine: 754 levels of [ is parsed/rejected cleanly (cJSON_ParseWithLength returns NULL), 755 crashes.

Why the existing limit does not catch it here

CJSON_NESTING_LIMIT counts recursive calls, not stack bytes consumed. Under -O0, every local gets its own stack slot (no register allocation), and ASan adds redzone padding around each stack allocation. The combined per-call frame size under this build is large enough that the process stack is exhausted well before the 1000-call counter would reject the input.

Confirms it is release-build-safe

The same inputs (780, 1000, 1500, 5000, 50000 levels of [) were tested against an identical harness built -O2, no sanitizers: all are rejected cleanly, exit code 0, no crash, in every case. The nesting limit does its job as documented in a normal build; the gap only appears under sanitizer instrumentation.

Suggested fix

Options, roughly in order of effort:

  • Note in the CJSON_NESTING_LIMIT documentation that the effective safe depth is build-configuration-dependent (much lower under -O0/ASan/MSan than in an optimized release build), so people fuzzing or testing cJSON with sanitizers know a stack-overflow at a shallower depth than 1000 is expected, not a new bug.
  • Optionally lower the default limit, or make it configurable relative to a measured/available stack size, if protecting sanitizer/debug builds against this specific crash is a goal.

Happy to share the exact harness and inputs if useful. Reported by an independent fuzzing exercise, no CVE requested given the release-build behavior is correct.

Lingua principale
C
Stelle
13k
Fork
3.5k
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di DaveGamble/cJSON

Tutte le issue di DaveGamble/cJSON

Issue simili

Altre issue su C

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.