printk: check for user pointers in format string parameters
[akaros.git] / kern / src / syscall.c
index 00a6286..4a886b6 100644 (file)
@@ -32,6 +32,7 @@
 #include <termios.h>
 #include <manager.h>
 #include <ros/procinfo.h>
 #include <termios.h>
 #include <manager.h>
 #include <ros/procinfo.h>
+#include <rcu.h>
 
 static int execargs_stringer(struct proc *p, char *d, size_t slen,
                             char *path, size_t path_l,
 
 static int execargs_stringer(struct proc *p, char *d, size_t slen,
                             char *path, size_t path_l,
@@ -50,13 +51,13 @@ static size_t systrace_fill_pretty_buf(struct systrace_record *trace,
        struct timespec ts_start = tsc2timespec(trace->start_timestamp);
        struct timespec ts_end = tsc2timespec(trace->end_timestamp);
 
        struct timespec ts_start = tsc2timespec(trace->start_timestamp);
        struct timespec ts_end = tsc2timespec(trace->end_timestamp);
 
-       /* Slightly different formats between entry and exit.  Entry has retval set
-        * to ---, and begins with E.  Exit begins with X. */
+       /* Slightly different formats between entry and exit.  Entry has retval
+        * set to ---, and begins with E.  Exit begins with X. */
        if (entry) {
                len = snprintf(trace->pretty_buf, SYSTR_PRETTY_BUF_SZ - len,
        if (entry) {
                len = snprintf(trace->pretty_buf, SYSTR_PRETTY_BUF_SZ - len,
-                     "E [%7d.%09d]-[%7d.%09d] Syscall %3d (%12s):(0x%llx, 0x%llx, "
-                     "0x%llx, 0x%llx, 0x%llx, 0x%llx) ret: --- proc: %d core: %d "
-                     "vcore: %d errno: --- data: ",
+                     "E [%7d.%09d]-[%7d.%09d] Syscall %3d (%12s):(0x%llx, "
+                     "0x%llx, 0x%llx, 0x%llx, 0x%llx, 0x%llx) ret: --- "
+                     "proc: %d core: %2d vcore: %2d errno: --- data: ",
                               ts_start.tv_sec,
                               ts_start.tv_nsec,
                               ts_end.tv_sec,
                               ts_start.tv_sec,
                               ts_start.tv_nsec,
                               ts_end.tv_sec,
@@ -74,9 +75,9 @@ static size_t systrace_fill_pretty_buf(struct systrace_record *trace,
                               trace->vcoreid);
        } else {
                len = snprintf(trace->pretty_buf, SYSTR_PRETTY_BUF_SZ - len,
                               trace->vcoreid);
        } else {
                len = snprintf(trace->pretty_buf, SYSTR_PRETTY_BUF_SZ - len,
-                     "X [%7d.%09d]-[%7d.%09d] Syscall %3d (%12s):(0x%llx, 0x%llx, "
-                     "0x%llx, 0x%llx, 0x%llx, 0x%llx) ret: 0x%llx proc: %d core: %d "
-                     "vcore: %d errno: %3d data: ",
+                     "X [%7d.%09d]-[%7d.%09d] Syscall %3d (%12s):(0x%llx, "
+                     "0x%llx, 0x%llx, 0x%llx, 0x%llx, 0x%llx) ret: 0x%llx "
+                     "proc: %d core: %2d vcore: -- errno: %3d data: ",
                               ts_start.tv_sec,
                               ts_start.tv_nsec,
                               ts_end.tv_sec,
                               ts_start.tv_sec,
                               ts_start.tv_nsec,
                               ts_end.tv_sec,
@@ -92,13 +93,13 @@ static size_t systrace_fill_pretty_buf(struct systrace_record *trace,
                               trace->retval,
                               trace->pid,
                               trace->coreid,
                               trace->retval,
                               trace->pid,
                               trace->coreid,
-                              trace->vcoreid,
                               trace->errno);
        }
        len += printdump(trace->pretty_buf + len, trace->datalen,
                         SYSTR_PRETTY_BUF_SZ - len - 1,
                         trace->data);
                               trace->errno);
        }
        len += printdump(trace->pretty_buf + len, trace->datalen,
                         SYSTR_PRETTY_BUF_SZ - len - 1,
                         trace->data);
-       len += snprintf(trace->pretty_buf + len, SYSTR_PRETTY_BUF_SZ - len, "\n");
+       len += snprintf(trace->pretty_buf + len, SYSTR_PRETTY_BUF_SZ - len,
+                       "\n");
        return len;
 }
 
        return len;
 }
 
@@ -136,16 +137,17 @@ static void systrace_output(struct systrace_record *trace,
        ERRSTACK(1);
        size_t pretty_len;
 
        ERRSTACK(1);
        size_t pretty_len;
 
-       /* qio ops can throw, especially the blocking qwrite.  I had it block on the
-        * outbound path of sys_proc_destroy().  The rendez immediately throws. */
+       /* qio ops can throw, especially the blocking qwrite.  I had it block on
+        * the outbound path of sys_proc_destroy().  The rendez immediately
+        * throws. */
        if (waserror()) {
                poperror();
                return;
        }
        pretty_len = systrace_fill_pretty_buf(trace, entry);
        if (strace) {
        if (waserror()) {
                poperror();
                return;
        }
        pretty_len = systrace_fill_pretty_buf(trace, entry);
        if (strace) {
-               /* At this point, we're going to emit the exit trace.  It's just a
-                * question of whether or not we block while doing it. */
+               /* At this point, we're going to emit the exit trace.  It's just
+                * question of whether or not we block while doing it. */
                if (strace->drop_overflow || !sysc_can_block(trace->syscallno))
                        qiwrite(strace->q, trace->pretty_buf, pretty_len);
                else
                if (strace->drop_overflow || !sysc_can_block(trace->syscallno))
                        qiwrite(strace->q, trace->pretty_buf, pretty_len);
                else
@@ -210,86 +212,7 @@ static bool trace_data_full(struct systrace_record *trace)
 
 static bool systrace_has_error(struct systrace_record *trace)
 {
 
 static bool systrace_has_error(struct systrace_record *trace)
 {
-       switch (trace->syscallno) {
-       case SYS_getpcoreid:
-       case SYS_getvcoreid:
-       case SYS_reboot:
-       case SYS_proc_yield:
-       case SYS_vc_entry:
-       case SYS_umask:
-       case SYS_init_arsc:
-               return false;
-       case SYS_abort_sysc:
-       case SYS_abort_sysc_fd:
-               /* These two are a little weird */
-               return false;
-       case SYS_null:
-       case SYS_block:
-       case SYS_nanosleep:
-       case SYS_cache_invalidate:
-       case SYS_proc_run:
-       case SYS_proc_destroy:
-       case SYS_exec:
-       case SYS_munmap:
-       case SYS_mprotect:
-       case SYS_notify:
-       case SYS_self_notify:
-       case SYS_send_event:
-       case SYS_halt_core:
-       case SYS_pop_ctx:
-       case SYS_vmm_poke_guest:
-       case SYS_poke_ksched:
-       case SYS_llseek:
-       case SYS_close:
-       case SYS_fstat:
-       case SYS_stat:
-       case SYS_lstat:
-       case SYS_access:
-       case SYS_link:
-       case SYS_unlink:
-       case SYS_symlink:
-       case SYS_chdir:
-       case SYS_fchdir:
-       case SYS_getcwd:
-       case SYS_mkdir:
-       case SYS_rmdir:
-       case SYS_tcgetattr:
-       case SYS_tcsetattr:
-       case SYS_setuid:
-       case SYS_setgid:
-       case SYS_rename:
-       case SYS_nunmount:
-       case SYS_fd2path:
-               return trace->retval != 0;
-       case SYS_proc_create:
-       case SYS_change_vcore:
-       case SYS_fork:
-       case SYS_waitpid:
-       case SYS_shared_page_alloc:
-       case SYS_shared_page_free:
-       case SYS_provision:
-       case SYS_change_to_m:
-       case SYS_vmm_ctl:
-       case SYS_read:
-       case SYS_write:
-       case SYS_openat:
-       case SYS_fcntl:
-       case SYS_readlink:
-       case SYS_nbind:
-       case SYS_nmount:
-       case SYS_wstat:
-       case SYS_fwstat:
-               return (long)trace->retval < 0;
-       case SYS_mmap:
-               return (void*)trace->retval == MAP_FAILED;
-       case SYS_vmm_add_gpcs:
-       case SYS_populate_va:
-       case SYS_dup_fds_to:
-       case SYS_tap_fds:
-               return (long)trace->retval <= 0;
-       };
-       warn_once("Unhandled syscall number %d", trace->syscallno);
-       return true;
+       return syscall_retval_is_error(trace->syscallno, trace->retval);
 }
 
 /* Starts a trace for p running sysc, attaching it to kthread.  Pairs with
 }
 
 /* Starts a trace for p running sysc, attaching it to kthread.  Pairs with
@@ -310,7 +233,8 @@ static void systrace_start_trace(struct kthread *kthread, struct syscall *sysc)
                        atomic_inc(&p->strace->nr_drops);
                        return;
                }
                        atomic_inc(&p->strace->nr_drops);
                        return;
                }
-               /* Avoiding the atomic op.  We sacrifice accuracy for less overhead. */
+               /* Avoiding the atomic op.  We sacrifice accuracy for less
+                * overhead. */
                p->strace->appx_nr_sysc++;
        } else {
                if (!trace)
                p->strace->appx_nr_sysc++;
        } else {
                if (!trace)
@@ -340,11 +264,8 @@ static void systrace_start_trace(struct kthread *kthread, struct syscall *sysc)
 
        switch (sysc->num) {
        case SYS_write:
 
        switch (sysc->num) {
        case SYS_write:
-               copy_tracedata_from_user(trace, sysc->arg1, sysc->arg2);
-               break;
        case SYS_openat:
        case SYS_chdir:
        case SYS_openat:
        case SYS_chdir:
-       case SYS_rmdir:
        case SYS_nmount:
                copy_tracedata_from_user(trace, sysc->arg1, sysc->arg2);
                break;
        case SYS_nmount:
                copy_tracedata_from_user(trace, sysc->arg1, sysc->arg2);
                break;
@@ -353,6 +274,7 @@ static void systrace_start_trace(struct kthread *kthread, struct syscall *sysc)
        case SYS_access:
        case SYS_unlink:
        case SYS_mkdir:
        case SYS_access:
        case SYS_unlink:
        case SYS_mkdir:
+       case SYS_rmdir:
        case SYS_wstat:
                copy_tracedata_from_user(trace, sysc->arg0, sysc->arg1);
                break;
        case SYS_wstat:
                copy_tracedata_from_user(trace, sysc->arg0, sysc->arg1);
                break;
@@ -387,14 +309,17 @@ static void systrace_start_trace(struct kthread *kthread, struct syscall *sysc)
                break;
        case SYS_tap_fds:
                for (size_t i = 0; i < (size_t)sysc->arg1; i++) {
                break;
        case SYS_tap_fds:
                for (size_t i = 0; i < (size_t)sysc->arg1; i++) {
-                       struct fd_tap_req *tap_reqs = (struct fd_tap_req*)sysc->arg0;
+                       struct fd_tap_req *tap_reqs = (struct
+                                                      fd_tap_req*)sysc->arg0;
                        int fd, cmd, filter;
 
                        tap_reqs += i;
                        copy_from_user(&fd, &tap_reqs->fd, sizeof(fd));
                        copy_from_user(&cmd, &tap_reqs->cmd, sizeof(cmd));
                        int fd, cmd, filter;
 
                        tap_reqs += i;
                        copy_from_user(&fd, &tap_reqs->fd, sizeof(fd));
                        copy_from_user(&cmd, &tap_reqs->cmd, sizeof(cmd));
-                       copy_from_user(&filter, &tap_reqs->filter, sizeof(filter));
-                       snprintf_to_trace(trace, "%d (%d 0x%x), ", fd, cmd, filter);
+                       copy_from_user(&filter, &tap_reqs->filter,
+                                      sizeof(filter));
+                       snprintf_to_trace(trace, "%d (%d 0x%x), ", fd, cmd,
+                                         filter);
                        if (trace_data_full(trace))
                                break;
                }
                        if (trace_data_full(trace))
                                break;
                }
@@ -417,6 +342,10 @@ static void systrace_finish_trace(struct kthread *kthread, long retval)
        trace = kthread->strace;
        trace->end_timestamp = read_tsc();
        trace->retval = retval;
        trace = kthread->strace;
        trace->end_timestamp = read_tsc();
        trace->retval = retval;
+       trace->coreid = core_id();
+       /* Can't trust the vcoreid of an exit record.  This'll be ignored later.
+        */
+       trace->vcoreid = -1;
        trace->errno = get_errno();
        trace->datalen = 0;
 
        trace->errno = get_errno();
        trace->datalen = 0;
 
@@ -430,14 +359,18 @@ static void systrace_finish_trace(struct kthread *kthread, long retval)
                                break;
                        copy_tracedata_from_user(trace, trace->arg1, retval);
                        break;
                                break;
                        copy_tracedata_from_user(trace, trace->arg1, retval);
                        break;
+               case SYS_getcwd:
+                       if (retval < 0)
+                               break;
+                       copy_tracedata_from_user(trace, trace->arg0, retval);
+                       break;
                case SYS_readlink:
                        if (retval <= 0)
                                break;
                case SYS_readlink:
                        if (retval <= 0)
                                break;
-                       copy_tracedata_from_user(trace, trace->arg0, trace->arg1);
+                       copy_tracedata_from_user(trace, trace->arg0,
+                                                trace->arg1);
                        snprintf_to_trace(trace, " -> ");
                        snprintf_to_trace(trace, " -> ");
-                       copy_tracedata_from_user(trace, trace->arg2,
-                                                (int)trace->retval < 0 ? 0
-                                                                                               : trace->retval);
+                       copy_tracedata_from_user(trace, trace->arg2, retval);
                        break;
                }
        }
                        break;
                }
        }
@@ -467,10 +400,11 @@ static void free_sysc_str(struct kthread *kth)
 
 #define sysc_save_str(...)                                                     \
 {                                                                              \
 
 #define sysc_save_str(...)                                                     \
 {                                                                              \
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];                     \
+       struct per_cpu_info *pcpui = this_pcpui_ptr();                         \
                                                                                \
                                                                                \
-       if (pcpui->cur_kthread->name)                                              \
-               snprintf(pcpui->cur_kthread->name, SYSCALL_STRLEN, __VA_ARGS__);       \
+       if (pcpui->cur_kthread->name)                                          \
+               snprintf(pcpui->cur_kthread->name, SYSCALL_STRLEN,             \
+                        __VA_ARGS__);                                         \
 }
 
 #else
 }
 
 #else
@@ -491,11 +425,11 @@ static void free_sysc_str(struct kthread *kth)
 static void finish_sysc(struct syscall *sysc, struct proc *p, long retval)
 {
        sysc->retval = retval;
 static void finish_sysc(struct syscall *sysc, struct proc *p, long retval)
 {
        sysc->retval = retval;
-       /* Atomically turn on the LOCK and SC_DONE flag.  The lock tells userspace
-        * we're messing with the flags and to not proceed.  We use it instead of
-        * CASing with userspace.  We need the atomics since we're racing with
-        * userspace for the event_queue registration.  The 'lock' tells userspace
-        * to not muck with the flags while we're signalling. */
+       /* Atomically turn on the LOCK and SC_DONE flag.  The lock tells
+        * userspace we're messing with the flags and to not proceed.  We use it
+        * instead of CASing with userspace.  We need the atomics since we're
+        * racing with userspace for the event_queue registration.  The 'lock'
+        * tells userspace to not muck with the flags while we're signalling. */
        atomic_or(&sysc->flags, SC_K_LOCK | SC_DONE);
        __signal_syscall(sysc, p);
        atomic_and(&sysc->flags, ~SC_K_LOCK);
        atomic_or(&sysc->flags, SC_K_LOCK | SC_DONE);
        __signal_syscall(sysc, p);
        atomic_and(&sysc->flags, ~SC_K_LOCK);
@@ -516,7 +450,7 @@ static void finish_sysc(struct syscall *sysc, struct proc *p, long retval)
 static void finish_current_sysc(long retval)
 {
        /* Need to re-load pcpui, in case we migrated */
 static void finish_current_sysc(long retval)
 {
        /* Need to re-load pcpui, in case we migrated */
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
+       struct per_cpu_info *pcpui = this_pcpui_ptr();
        struct syscall *sysc = pcpui->cur_kthread->sysc;
 
        assert(sysc);
        struct syscall *sysc = pcpui->cur_kthread->sysc;
 
        assert(sysc);
@@ -528,7 +462,7 @@ static void finish_current_sysc(long retval)
        strncpy(sysc->errstr, pcpui->cur_kthread->errstr, MAX_ERRSTR_LEN);
        free_sysc_str(pcpui->cur_kthread);
        systrace_finish_trace(pcpui->cur_kthread, retval);
        strncpy(sysc->errstr, pcpui->cur_kthread->errstr, MAX_ERRSTR_LEN);
        free_sysc_str(pcpui->cur_kthread);
        systrace_finish_trace(pcpui->cur_kthread, retval);
-       pcpui = &per_cpu_info[core_id()];       /* reload again */
+       pcpui = this_pcpui_ptr();       /* reload again */
        finish_sysc(pcpui->cur_kthread->sysc, pcpui->cur_proc, retval);
        pcpui->cur_kthread->sysc = NULL;
 }
        finish_sysc(pcpui->cur_kthread->sysc, pcpui->cur_proc, retval);
        pcpui->cur_kthread->sysc = NULL;
 }
@@ -537,7 +471,7 @@ static void finish_current_sysc(long retval)
  */
 void set_errno(int errno)
 {
  */
 void set_errno(int errno)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
+       struct per_cpu_info *pcpui = this_pcpui_ptr();
 
        if (pcpui->cur_kthread)
                pcpui->cur_kthread->errno = errno;
 
        if (pcpui->cur_kthread)
                pcpui->cur_kthread->errno = errno;
@@ -547,7 +481,7 @@ void set_errno(int errno)
  */
 int get_errno(void)
 {
  */
 int get_errno(void)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
+       struct per_cpu_info *pcpui = this_pcpui_ptr();
 
        if (pcpui->cur_kthread)
                return pcpui->cur_kthread->errno;
 
        if (pcpui->cur_kthread)
                return pcpui->cur_kthread->errno;
@@ -557,7 +491,7 @@ int get_errno(void)
 
 void unset_errno(void)
 {
 
 void unset_errno(void)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
+       struct per_cpu_info *pcpui = this_pcpui_ptr();
 
        if (!pcpui->cur_kthread)
                return;
 
        if (!pcpui->cur_kthread)
                return;
@@ -567,7 +501,7 @@ void unset_errno(void)
 
 void vset_errstr(const char *fmt, va_list ap)
 {
 
 void vset_errstr(const char *fmt, va_list ap)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
+       struct per_cpu_info *pcpui = this_pcpui_ptr();
 
        if (!pcpui->cur_kthread)
                return;
 
        if (!pcpui->cur_kthread)
                return;
@@ -590,7 +524,7 @@ void set_errstr(const char *fmt, ...)
 
 char *current_errstr(void)
 {
 
 char *current_errstr(void)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
+       struct per_cpu_info *pcpui = this_pcpui_ptr();
 
        if (!pcpui->cur_kthread)
                return "no errstr";
 
        if (!pcpui->cur_kthread)
                return "no errstr";
@@ -611,19 +545,18 @@ void set_error(int error, const char *fmt, ...)
 
 struct errbuf *get_cur_errbuf(void)
 {
 
 struct errbuf *get_cur_errbuf(void)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
-       return pcpui->cur_kthread->errbuf;
+       return this_pcpui_var(cur_kthread)->errbuf;
 }
 
 void set_cur_errbuf(struct errbuf *ebuf)
 {
 }
 
 void set_cur_errbuf(struct errbuf *ebuf)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
-       pcpui->cur_kthread->errbuf = ebuf;
+       this_pcpui_var(cur_kthread)->errbuf = ebuf;
 }
 
 char *get_cur_genbuf(void)
 {
 }
 
 char *get_cur_genbuf(void)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
+       struct per_cpu_info *pcpui = this_pcpui_ptr();
+
        assert(pcpui->cur_kthread);
        return pcpui->cur_kthread->generic_buf;
 }
        assert(pcpui->cur_kthread);
        return pcpui->cur_kthread->generic_buf;
 }
@@ -632,12 +565,13 @@ char *get_cur_genbuf(void)
 static struct proc *get_controllable_proc(struct proc *p, pid_t pid)
 {
        struct proc *target = pid2proc(pid);
 static struct proc *get_controllable_proc(struct proc *p, pid_t pid)
 {
        struct proc *target = pid2proc(pid);
+
        if (!target) {
        if (!target) {
-               set_errno(ESRCH);
+               set_error(ESRCH, "no proc for pid %d", pid);
                return 0;
        }
        if (!proc_controls(p, target)) {
                return 0;
        }
        if (!proc_controls(p, target)) {
-               set_errno(EPERM);
+               set_error(EPERM, "can't control pid %d", pid);
                proc_decref(target);
                return 0;
        }
                proc_decref(target);
                return 0;
        }
@@ -740,7 +674,8 @@ static int sys_nanosleep(struct proc *p,
         * overflow). */
        if (waserror()) {
                krem = tsc2timespec(read_tsc() - tsc);
         * overflow). */
        if (waserror()) {
                krem = tsc2timespec(read_tsc() - tsc);
-               if (rem && memcpy_to_user(p, rem, &krem, sizeof(struct timespec)))
+               if (rem &&
+                   memcpy_to_user(p, rem, &krem, sizeof(struct timespec)))
                        set_errno(EFAULT);
                poperror();
                return -1;
                        set_errno(EFAULT);
                poperror();
                return -1;
@@ -824,14 +759,14 @@ static int sys_proc_create(struct proc *p, char *path, size_t path_l,
                set_error(EINVAL, "Failed to copy in the args");
                goto error_with_file;
        }
                set_error(EINVAL, "Failed to copy in the args");
                goto error_with_file;
        }
-       /* Unpack the argenv array into more usable variables. Integrity checking
-        * done along side this as well. */
+       /* Unpack the argenv array into more usable variables. Integrity
+        * checking done along side this as well. */
        if (unpack_argenv(kargenv, argenv_l, &argc, &argv, &envc, &envp)) {
                set_error(EINVAL, "Failed to unpack the args");
                goto error_with_kargenv;
        }
        if (unpack_argenv(kargenv, argenv_l, &argc, &argv, &envc, &envp)) {
                set_error(EINVAL, "Failed to unpack the args");
                goto error_with_kargenv;
        }
-       /* TODO: need to split the proc creation, since you must load after setting
-        * args/env, since auxp gets set up there. */
+       /* TODO: need to split the proc creation, since you must load after
+        * setting args/env, since auxp gets set up there. */
        //new_p = proc_create(program, 0, 0);
        if (proc_alloc(&new_p, current, flags)) {
                set_error(ENOMEM, "Failed to alloc new proc");
        //new_p = proc_create(program, 0, 0);
        if (proc_alloc(&new_p, current, flags)) {
                set_error(ENOMEM, "Failed to alloc new proc");
@@ -853,13 +788,14 @@ static int sys_proc_create(struct proc *p, char *path, size_t path_l,
        __proc_ready(new_p);
        pid = new_p->pid;
        profiler_notify_new_process(new_p);
        __proc_ready(new_p);
        pid = new_p->pid;
        profiler_notify_new_process(new_p);
-       proc_decref(new_p);     /* give up the reference created in proc_create() */
+       /* give up the reference created in proc_create() */
+       proc_decref(new_p);
        return pid;
 error_with_proc:
        /* proc_destroy will decref once, which is for the ref created in
         * proc_create().  We don't decref again (the usual "+1 for existing"),
        return pid;
 error_with_proc:
        /* proc_destroy will decref once, which is for the ref created in
         * proc_create().  We don't decref again (the usual "+1 for existing"),
-        * since the scheduler, which usually handles that, hasn't heard about the
-        * process (via __proc_ready()). */
+        * since the scheduler, which usually handles that, hasn't heard about
+        * the process (via __proc_ready()). */
        proc_destroy(new_p);
 error_with_kargenv:
        user_memdup_free(p, kargenv);
        proc_destroy(new_p);
 error_with_kargenv:
        user_memdup_free(p, kargenv);
@@ -870,11 +806,13 @@ error_with_path:
        return -1;
 }
 
        return -1;
 }
 
-/* Makes process PID runnable.  Consider moving the functionality to process.c */
+/* Makes process PID runnable.  Consider moving the functionality to process.c
+ */
 static error_t sys_proc_run(struct proc *p, unsigned pid)
 {
        error_t retval = 0;
        struct proc *target = get_controllable_proc(p, pid);
 static error_t sys_proc_run(struct proc *p, unsigned pid)
 {
        error_t retval = 0;
        struct proc *target = get_controllable_proc(p, pid);
+
        if (!target)
                return -1;
        if (target->state != PROC_CREATED) {
        if (!target)
                return -1;
        if (target->state != PROC_CREATED) {
@@ -882,8 +820,8 @@ static error_t sys_proc_run(struct proc *p, unsigned pid)
                proc_decref(target);
                return -1;
        }
                proc_decref(target);
                return -1;
        }
-       /* Note a proc can spam this for someone it controls.  Seems safe - if it
-        * isn't we can change it. */
+       /* Note a proc can spam this for someone it controls.  Seems safe - if
+        * it isn't we can change it. */
        proc_wakeup(target);
        proc_decref(target);
        return 0;
        proc_wakeup(target);
        proc_decref(target);
        return 0;
@@ -901,9 +839,10 @@ static error_t sys_proc_destroy(struct proc *p, pid_t pid, int exitcode)
                return -1;
        if (p_to_die == p) {
                p->exitcode = exitcode;
                return -1;
        if (p_to_die == p) {
                p->exitcode = exitcode;
-               printd("[PID %d] proc exiting gracefully (code %d)\n", p->pid,exitcode);
+               printd("[PID %d] proc exiting gracefully (code %d)\n",
+                      p->pid,exitcode);
        } else {
        } else {
-               p_to_die->exitcode = exitcode;  /* so its parent has some clue */
+               p_to_die->exitcode = exitcode;
                printd("[%d] destroying proc %d\n", p->pid, p_to_die->pid);
        }
        proc_destroy(p_to_die);
                printd("[%d] destroying proc %d\n", p->pid, p_to_die->pid);
        }
        proc_destroy(p_to_die);
@@ -913,8 +852,9 @@ static error_t sys_proc_destroy(struct proc *p, pid_t pid, int exitcode)
 
 static int sys_proc_yield(struct proc *p, bool being_nice)
 {
 
 static int sys_proc_yield(struct proc *p, bool being_nice)
 {
-       /* proc_yield() often doesn't return - we need to finish the syscall early.
-        * If it doesn't return, it expects to eat our reference (for now). */
+       /* proc_yield() often doesn't return - we need to finish the syscall
+        * early.  If it doesn't return, it expects to eat our reference (for
+        * now). */
        finish_current_sysc(0);
        proc_incref(p, 1);
        proc_yield(p, being_nice);
        finish_current_sysc(0);
        proc_incref(p, 1);
        proc_yield(p, being_nice);
@@ -925,10 +865,16 @@ static int sys_proc_yield(struct proc *p, bool being_nice)
 }
 
 static int sys_change_vcore(struct proc *p, uint32_t vcoreid,
 }
 
 static int sys_change_vcore(struct proc *p, uint32_t vcoreid,
-                             bool enable_my_notif)
+                            bool enable_my_notif)
 {
 {
+       if (!proc_vcoreid_is_safe(p, vcoreid)) {
+               set_error(EINVAL, "vcoreid %d out of range %d", vcoreid,
+                         p->procinfo->max_vcores);
+               return -1;
+       }
        /* Note retvals can be negative, but we don't mess with errno in case
        /* Note retvals can be negative, but we don't mess with errno in case
-        * callers use this in low-level code and want to extract the 'errno'. */
+        * callers use this in low-level code and want to extract the 'errno'.
+        */
        return proc_change_to_vcore(p, vcoreid, enable_my_notif);
 }
 
        return proc_change_to_vcore(p, vcoreid, enable_my_notif);
 }
 
@@ -936,7 +882,6 @@ static ssize_t sys_fork(env_t* e)
 {
        uintptr_t temp;
        int ret;
 {
        uintptr_t temp;
        int ret;
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
 
        // TODO: right now we only support fork for single-core processes
        if (e->state != PROC_RUNNING_S) {
 
        // TODO: right now we only support fork for single-core processes
        if (e->state != PROC_RUNNING_S) {
@@ -944,6 +889,7 @@ static ssize_t sys_fork(env_t* e)
                return -1;
        }
        env_t* env;
                return -1;
        }
        env_t* env;
+
        ret = proc_alloc(&env, current, PROC_DUP_FGRP);
        assert(!ret);
        assert(env != NULL);
        ret = proc_alloc(&env, current, PROC_DUP_FGRP);
        assert(!ret);
        assert(env != NULL);
@@ -956,24 +902,24 @@ static ssize_t sys_fork(env_t* e)
                set_errno(EINVAL);
                return -1;
        }
                set_errno(EINVAL);
                return -1;
        }
-       assert(pcpui->cur_proc == pcpui->owning_proc);
+       assert(current == this_pcpui_var(owning_proc));
        copy_current_ctx_to(&env->scp_ctx);
 
        copy_current_ctx_to(&env->scp_ctx);
 
-       /* Make the new process have the same VMRs as the older.  This will copy the
-        * contents of non MAP_SHARED pages to the new VMRs. */
+       /* Make the new process have the same VMRs as the older.  This will copy
+        * the contents of non MAP_SHARED pages to the new VMRs. */
        if (duplicate_vmrs(e, env)) {
        if (duplicate_vmrs(e, env)) {
-               proc_destroy(env);      /* this is prob what you want, not decref by 2 */
+               proc_destroy(env);
                proc_decref(env);
                set_errno(ENOMEM);
                return -1;
        }
        /* Switch to the new proc's address space and finish the syscall.  We'll
                proc_decref(env);
                set_errno(ENOMEM);
                return -1;
        }
        /* Switch to the new proc's address space and finish the syscall.  We'll
-        * never naturally finish this syscall for the new proc, since its memory
-        * is cloned before we return for the original process.  If we ever do CoW
-        * for forked memory, this will be the first place that gets CoW'd. */
+        * never naturally finish this syscall for the new proc, since its
+        * memory is cloned before we return for the original process.  If we
+        * ever do CoW for forked memory, this will be the first place that gets
+        * CoW'd. */
        temp = switch_to(env);
        temp = switch_to(env);
-       pcpui = &per_cpu_info[core_id()];       /* reload in case of migration */
-       finish_sysc(pcpui->cur_kthread->sysc, env, 0);
+       finish_sysc(current_kthread->sysc, env, 0);
        switch_back(env, temp);
 
        /* Copy some state from the original proc into the new proc. */
        switch_back(env, temp);
 
        /* Copy some state from the original proc into the new proc. */
@@ -981,8 +927,8 @@ static ssize_t sys_fork(env_t* e)
 
        inherit_strace(e, env);
 
 
        inherit_strace(e, env);
 
-       /* In general, a forked process should be a fresh process, and we copy over
-        * whatever stuff is needed between procinfo/procdata. */
+       /* In general, a forked process should be a fresh process, and we copy
+        * over whatever stuff is needed between procinfo/procdata. */
        *env->procdata = *e->procdata;
        env->procinfo->program_end = e->procinfo->program_end;
 
        *env->procdata = *e->procdata;
        env->procinfo->program_end = e->procinfo->program_end;
 
@@ -992,13 +938,13 @@ static ssize_t sys_fork(env_t* e)
 
        // don't decref the new process.
        // that will happen when the parent waits for it.
 
        // don't decref the new process.
        // that will happen when the parent waits for it.
-       // TODO: if the parent doesn't wait, we need to change the child's parent
-       // when the parent dies, or at least decref it
+       // TODO: if the parent doesn't wait, we need to change the child's
+       // parent when the parent dies, or at least decref it
 
        printd("[PID %d] fork PID %d\n", e->pid, env->pid);
        ret = env->pid;
        profiler_notify_new_process(env);
 
        printd("[PID %d] fork PID %d\n", e->pid, env->pid);
        ret = env->pid;
        profiler_notify_new_process(env);
-       proc_decref(env);       /* give up the reference created in proc_alloc() */
+       proc_decref(env); /* give up the reference created in proc_alloc() */
        return ret;
 }
 
        return ret;
 }
 
@@ -1030,18 +976,20 @@ static int execargs_stringer(struct proc *p, char *d, size_t slen,
         * arguments. Please, don't suggest a cpp macro. Thank you. */
        /* Check the size of the argenv array, error out if too large. */
        if ((argenv_l < sizeof(struct argenv)) || (argenv_l > ARG_MAX)) {
         * arguments. Please, don't suggest a cpp macro. Thank you. */
        /* Check the size of the argenv array, error out if too large. */
        if ((argenv_l < sizeof(struct argenv)) || (argenv_l > ARG_MAX)) {
-               s = seprintf(s, e, "The argenv array has an invalid size: %lu\n",
-                                 argenv_l);
+               s = seprintf(s, e,
+                            "The argenv array has an invalid size: %lu\n",
+                            argenv_l);
                return s - d;
        }
        /* Copy the argenv array into a kernel buffer. */
        kargenv = user_memdup_errno(p, argenv, argenv_l);
        if (!kargenv) {
                return s - d;
        }
        /* Copy the argenv array into a kernel buffer. */
        kargenv = user_memdup_errno(p, argenv, argenv_l);
        if (!kargenv) {
-               s = seprintf(s, e, "Failed to copy in the args and environment");
+               s = seprintf(s, e,
+                            "Failed to copy in the args and environment");
                return s - d;
        }
                return s - d;
        }
-       /* Unpack the argenv array into more usable variables. Integrity checking
-        * done along side this as well. */
+       /* Unpack the argenv array into more usable variables. Integrity
+        * checking done along side this as well. */
        if (unpack_argenv(kargenv, argenv_l, &argc, &argv, &envc, &envp)) {
                s = seprintf(s, e, "Failed to unpack the args");
                user_memdup_free(p, kargenv);
        if (unpack_argenv(kargenv, argenv_l, &argc, &argv, &envc, &envp)) {
                s = seprintf(s, e, "Failed to unpack the args");
                user_memdup_free(p, kargenv);
@@ -1069,129 +1017,148 @@ static int sys_exec(struct proc *p, char *path, size_t path_l,
        int ret = -1;
        char *t_path = NULL;
        struct file_or_chan *program;
        int ret = -1;
        char *t_path = NULL;
        struct file_or_chan *program;
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
        int argc, envc;
        char **argv, **envp;
        struct argenv *kargenv;
 
        /* We probably want it to never be allowed to exec if it ever was _M */
        if (p->state != PROC_RUNNING_S) {
        int argc, envc;
        char **argv, **envp;
        struct argenv *kargenv;
 
        /* We probably want it to never be allowed to exec if it ever was _M */
        if (p->state != PROC_RUNNING_S) {
-               set_errno(EINVAL);
-               return -1;
-       }
-       if (p != pcpui->cur_proc) {
-               set_errno(EINVAL);
-               return -1;
-       }
-
-       /* Can't exec if we don't have a current_ctx to restart (if we fail).  This
-        * isn't 100% true, but I'm okay with it. */
-       if (!pcpui->cur_ctx) {
-               set_errno(EINVAL);
+               set_error(EINVAL, "Can't exec an MCP");
                return -1;
        }
                return -1;
        }
-       /* Preemptively copy out the cur_ctx, in case we fail later (easier on
-        * cur_ctx if we do this now) */
-       assert(pcpui->cur_proc == pcpui->owning_proc);
-       copy_current_ctx_to(&p->scp_ctx);
        /* Check the size of the argenv array, error out if too large. */
        if ((argenv_l < sizeof(struct argenv)) || (argenv_l > ARG_MAX)) {
                set_error(EINVAL, "The argenv array has an invalid size: %lu\n",
                                  argenv_l);
                return -1;
        }
        /* Check the size of the argenv array, error out if too large. */
        if ((argenv_l < sizeof(struct argenv)) || (argenv_l > ARG_MAX)) {
                set_error(EINVAL, "The argenv array has an invalid size: %lu\n",
                                  argenv_l);
                return -1;
        }
+
+       if (p != this_pcpui_var(owning_proc)) {
+               warn("Proc %d tried to exec and wasn't owning_proc", p->pid);
+               set_error(EAGAIN, "exec may have blocked during execution");
+               return -1;
+       }
+       assert(current_ctx);
+       /* Before this, we shouldn't have blocked (maybe with strace, though we
+        * explicitly don't block exec for strace).  The owning proc, cur_proc,
+        * and cur_ctx checks should catch that.  After this, we might still
+        * block, such as on accessing the filesystem.
+        *
+        * After this point, we're treated like a yield - we're waiting until
+        * something wakes us.  The kthread might block, error and fail, or
+        * succeed.  We shouldn't return to userspace before one of those.  The
+        * only way out of this function is via smp_idle, not returning the way
+        * we came.
+        *
+        * Under normal situations, the only thing that will wake us is this
+        * kthread completing.  I think you can trigger wakeups with events and
+        * async syscalls started before the exec.  I'm not sure if that could
+        * trigger more bugs or if that would hurt the kernel.  If so, we could
+        * add an EXEC_LIMBO state.
+        *
+        * Note that we will 'hard block' if we block at all.  We can't return
+        * to userspace and then asynchronously finish the exec later. */
+       spin_lock(&p->proc_lock);
+       /* We only need the context for the error case.  We have to save it now,
+        * since once we leave this core, such as when the kthread blocks, the
+        * old SCP's context will be gone. */
+       __proc_save_context_s(p);
+       /* We are no longer owning, but we are still current, like any
+        * kthread-that-blocked-on-behalf of a process.  I think one invariant
+        * for SCPs is: "RUNNING_S <==> is the owning proc". */
+       clear_owning_proc(core_id());
+       __proc_set_state(p, PROC_WAITING);
+       spin_unlock(&p->proc_lock);
+
        /* Copy the argenv array into a kernel buffer. */
        kargenv = user_memdup_errno(p, argenv, argenv_l);
        if (!kargenv) {
        /* Copy the argenv array into a kernel buffer. */
        kargenv = user_memdup_errno(p, argenv, argenv_l);
        if (!kargenv) {
-               set_errstr("Failed to copy in the args and environment");
-               return -1;
+               set_error(EINVAL, "Failed to copy in the args and environment");
+               goto out_error;
        }
        }
-       /* Unpack the argenv array into more usable variables. Integrity checking
-        * done along side this as well. */
+       /* Unpack the argenv array into more usable variables. Integrity
+        * checking done along side this as well. */
        if (unpack_argenv(kargenv, argenv_l, &argc, &argv, &envc, &envp)) {
        if (unpack_argenv(kargenv, argenv_l, &argc, &argv, &envc, &envp)) {
-               user_memdup_free(p, kargenv);
                set_error(EINVAL, "Failed to unpack the args");
                set_error(EINVAL, "Failed to unpack the args");
-               return -1;
+               goto out_error_kargenv;
        }
        t_path = copy_in_path(p, path, path_l);
        if (!t_path) {
                user_memdup_free(p, kargenv);
        }
        t_path = copy_in_path(p, path, path_l);
        if (!t_path) {
                user_memdup_free(p, kargenv);
-               return -1;
+               goto out_error_kargenv;
        }
        }
-       /* Clear the current_ctx.  We won't be returning the 'normal' way.  Even if
-        * we want to return with an error, we need to go back differently in case
-        * we succeed.  This needs to be done before we could possibly block, but
-        * unfortunately happens before the point of no return.
-        *
-        * Note that we will 'hard block' if we block at all.  We can't return to
-        * userspace and then asynchronously finish the exec later. */
-       clear_owning_proc(core_id());
-       /* This could block: */
        program = foc_open(t_path, O_EXEC | O_READ, 0);
        if (!program)
        program = foc_open(t_path, O_EXEC | O_READ, 0);
        if (!program)
-               goto early_error;
+               goto out_error_tpath;
        if (!is_valid_elf(program)) {
        if (!is_valid_elf(program)) {
-               set_errno(ENOEXEC);
-               goto mid_error;
+               set_error(ENOEXEC, "Program was not a valid ELF");
+               goto out_error_program;
        }
        }
-       /* This is the point of no return for the process. */
+
+       /* This is the point of no return for the process.  Any errors here lead
+        * to destruction. */
+
        /* progname is argv0, which accounts for symlinks */
        proc_replace_binary_path(p, t_path);
        /* progname is argv0, which accounts for symlinks */
        proc_replace_binary_path(p, t_path);
+       /* p now owns the t_path, and it'll get freed when we destroy p. */
+       t_path = NULL;
        proc_set_progname(p, argc ? argv[0] : NULL);
        proc_init_procdata(p);
        p->procinfo->program_end = 0;
        /* When we destroy our memory regions, accessing cur_sysc would PF */
        proc_set_progname(p, argc ? argv[0] : NULL);
        proc_init_procdata(p);
        p->procinfo->program_end = 0;
        /* When we destroy our memory regions, accessing cur_sysc would PF */
-       pcpui->cur_kthread->sysc = 0;
+       current_kthread->sysc = 0;
        unmap_and_destroy_vmrs(p);
        /* close the CLOEXEC ones */
        close_fdt(&p->open_files, TRUE);
        env_user_mem_free(p, 0, UMAPTOP);
        if (load_elf(p, program, argc, argv, envc, envp)) {
        unmap_and_destroy_vmrs(p);
        /* close the CLOEXEC ones */
        close_fdt(&p->open_files, TRUE);
        env_user_mem_free(p, 0, UMAPTOP);
        if (load_elf(p, program, argc, argv, envc, envp)) {
+               set_error(EINVAL, "Failed to load elf");
+               /* At this point, we destroyed memory and can't return to the
+                * app.  We can't use the error cases, since they assume we'll
+                * return. */
                foc_decref(program);
                user_memdup_free(p, kargenv);
                foc_decref(program);
                user_memdup_free(p, kargenv);
-               systrace_finish_trace(pcpui->cur_kthread, -1);
-               /* Note this is an inedible reference, but proc_destroy now returns */
+               /* We finish the trace and not the sysc, since the sysc is gone.
+                */
+               systrace_finish_trace(current_kthread, -1);
+               /* Note this is an inedible reference, but proc_destroy now
+                * returns */
                proc_destroy(p);
                proc_destroy(p);
-               /* We don't want to do anything else - we just need to not accidentally
-                * return to the user (hence the all_out) */
+               /* We don't want to do anything else - we just need to not
+                * accidentally return to the user (hence the all_out) */
                goto all_out;
        }
        printd("[PID %d] exec %s\n", p->pid, foc_to_name(program));
        foc_decref(program);
                goto all_out;
        }
        printd("[PID %d] exec %s\n", p->pid, foc_to_name(program));
        foc_decref(program);
-       systrace_finish_trace(pcpui->cur_kthread, 0);
-       goto success;
-       /* These error and out paths are so we can handle the async interface, both
-        * for when we want to error/return to the proc, as well as when we succeed
-        * and want to start the newly exec'd _S */
-mid_error:
-       /* These two error paths are for when we want to restart the process with an
-        * error value (errno is already set). */
+       user_memdup_free(p, kargenv);
+       systrace_finish_trace(current_kthread, 0);
+       proc_wakeup(p);
+
+       goto all_out;
+
+out_error_program:
        foc_decref(program);
        foc_decref(program);
-early_error:
-       /* Note the t_path is passed to proc_replace_binary_path for success */
+out_error_tpath:
+       /* Note the t_path is passed to proc_replace_binary_path in the non
+        * out_error cases. */
        free_path(p, t_path);
        free_path(p, t_path);
-       finish_current_sysc(-1);
-success:
+out_error_kargenv:
        user_memdup_free(p, kargenv);
        user_memdup_free(p, kargenv);
-       /* Here's how we restart the new (on success) or old (on failure) proc: */
-       spin_lock(&p->proc_lock);
-       __seq_start_write(&p->procinfo->coremap_seqctr);
-       __unmap_vcore(p, 0);
-       __seq_end_write(&p->procinfo->coremap_seqctr);
-       __proc_set_state(p, PROC_WAITING);      /* fake a yield */
-       spin_unlock(&p->proc_lock);
+out_error:
+       finish_current_sysc(-1);
        proc_wakeup(p);
        proc_wakeup(p);
+
 all_out:
 all_out:
-       /* This free and setting sysc = NULL may happen twice (early errors do it),
-        * but they are idempotent. */
-       free_sysc_str(pcpui->cur_kthread);
-       pcpui->cur_kthread->sysc = NULL;
+       /* This free and setting sysc = NULL may happen twice (early errors do
+        * it), but they are idempotent. */
+       free_sysc_str(current_kthread);
+       current_kthread->sysc = NULL;
        /* we can't return, since we'd write retvals to the old location of the
        /* we can't return, since we'd write retvals to the old location of the
-        * syscall struct (which has been freed and is in the old userspace) (or has
-        * already been written to).*/
-       disable_irq();                  /* abandon_core/clear_own wants irqs disabled */
+        * syscall struct (which has been freed and is in the old userspace) (or
+        * has already been written to).*/
+       disable_irq();          /* abandon_core/clear_own wants irqs disabled */
        abandon_core();
        abandon_core();
-       smp_idle();                             /* will reenable interrupts */
+       smp_idle();             /* will reenable interrupts */
 }
 
 /* Helper, will attempt a particular wait on a proc.  Returns the pid of the
 }
 
 /* Helper, will attempt a particular wait on a proc.  Returns the pid of the
@@ -1204,19 +1171,21 @@ static pid_t __try_wait(struct proc *parent, struct proc *child,
                         int *ret_status, int options)
 {
        if (proc_is_dying(child)) {
                         int *ret_status, int options)
 {
        if (proc_is_dying(child)) {
-               /* Disown returns -1 if it's already been disowned or we should o/w
-                * abort.  This can happen if we have concurrent waiters, both with
-                * pointers to the child (only one should reap).  Note that if we don't
-                * do this, we could go to sleep and never receive a cv_signal. */
+               /* Disown returns -1 if it's already been disowned or we should
+                * o/w abort.  This can happen if we have concurrent waiters,
+                * both with pointers to the child (only one should reap).  Note
+                * that if we don't do this, we could go to sleep and never
+                * receive a cv_signal. */
                if (__proc_disown_child(parent, child))
                        return -1;
                if (__proc_disown_child(parent, child))
                        return -1;
-               /* despite disowning, the child won't be freed til we drop this ref
-                * held by this function, so it is safe to access the memory.
+               /* despite disowning, the child won't be freed til we drop this
+                * ref held by this function, so it is safe to access the
+                * memory.
                 *
                 *
-                * Note the exit code one byte in the 0xff00 spot.  Check out glibc's
-                * posix/sys/wait.h and bits/waitstatus.h for more info.  If we ever
-                * deal with signalling and stopping, we'll need to do some more work
-                * here.*/
+                * Note the exit code one byte in the 0xff00 spot.  Check out
+                * glibc's posix/sys/wait.h and bits/waitstatus.h for more info.
+                * If we ever deal with signalling and stopping, we'll need to
+                * do some more work here.*/
                *ret_status = (child->exitcode & 0xff) << 8;
                return child->pid;
        }
                *ret_status = (child->exitcode & 0xff) << 8;
                return child->pid;
        }
@@ -1236,11 +1205,13 @@ static pid_t __try_wait_any(struct proc *parent, int *ret_status, int options,
 
        if (TAILQ_EMPTY(&parent->children))
                return -1;
 
        if (TAILQ_EMPTY(&parent->children))
                return -1;
-       /* Could have concurrent waiters mucking with the tailq, caller must lock */
+       /* Could have concurrent waiters mucking with the tailq, caller must
+        * lock */
        TAILQ_FOREACH_SAFE(i, &parent->children, sibling_link, temp) {
                retval = __try_wait(parent, i, ret_status, options);
        TAILQ_FOREACH_SAFE(i, &parent->children, sibling_link, temp) {
                retval = __try_wait(parent, i, ret_status, options);
-               /* This catches a thread causing a wait to fail but not taking the
-                * child off the list before unlocking.  Should never happen. */
+               /* This catches a thread causing a wait to fail but not taking
+                * the child off the list before unlocking.  Should never
+                * happen. */
                assert(retval != -1);
                /* Succeeded, return the pid of the child we waited on */
                if (retval) {
                assert(retval != -1);
                /* Succeeded, return the pid of the child we waited on */
                if (retval) {
@@ -1268,13 +1239,13 @@ static pid_t wait_one(struct proc *parent, struct proc *child, int *ret_status,
        while (!retval) {
                cpu_relax();
                cv_wait(&parent->child_wait);
        while (!retval) {
                cpu_relax();
                cv_wait(&parent->child_wait);
-               /* If we're dying, then we don't need to worry about waiting.  We don't
-                * do this yet, but we'll need this outlet when we deal with orphaned
-                * children and having init inherit them. */
+               /* If we're dying, then we don't need to worry about waiting.
+                * We don't do this yet, but we'll need this outlet when we deal
+                * with orphaned children and having init inherit them. */
                if (proc_is_dying(parent))
                        goto out_unlock;
                if (proc_is_dying(parent))
                        goto out_unlock;
-               /* Any child can wake us up, but we check for the particular child we
-                * care about */
+               /* Any child can wake us up, but we check for the particular
+                * child we care about */
                retval = __try_wait(parent, child, ret_status, options);
        }
        if (retval == -1) {
                retval = __try_wait(parent, child, ret_status, options);
        }
        if (retval == -1) {
@@ -1307,8 +1278,9 @@ static pid_t wait_any(struct proc *parent, int *ret_status, int options)
                cv_wait(&parent->child_wait);
                if (proc_is_dying(parent))
                        goto out_unlock;
                cv_wait(&parent->child_wait);
                if (proc_is_dying(parent))
                        goto out_unlock;
-               /* Any child can wake us up from the CV.  This is a linear __try_wait
-                * scan.  If we have a lot of children, we could optimize this. */
+               /* Any child can wake us up from the CV.  This is a linear
+                * __try_wait scan.  If we have a lot of children, we could
+                * optimize this. */
                retval = __try_wait_any(parent, ret_status, options, &child);
        }
        if (retval == -1)
                retval = __try_wait_any(parent, ret_status, options, &child);
        }
        if (retval == -1)
@@ -1405,15 +1377,15 @@ static int prov_resource(struct proc *target, unsigned int res_type,
                          long res_val)
 {
        switch (res_type) {
                          long res_val)
 {
        switch (res_type) {
-               case (RES_CORES):
-                       /* in the off chance we have a kernel scheduler that can't
-                        * provision, we'll need to change this. */
-                       return provision_core(target, res_val);
-               default:
-                       printk("[kernel] received provisioning for unknown resource %d\n",
-                              res_type);
-                       set_errno(ENOENT);      /* or EINVAL? */
-                       return -1;
+       case (RES_CORES):
+               /* in the off chance we have a kernel scheduler that can't
+                * provision, we'll need to change this. */
+               return provision_core(target, res_val);
+       default:
+               printk("[kernel] got provisioning for unknown resource %d\n",
+                      res_type);
+               set_errno(ENOENT);      /* or EINVAL? */
+               return -1;
        }
 }
 
        }
 }
 
@@ -1423,6 +1395,7 @@ static int sys_provision(struct proc *p, int target_pid,
 {
        struct proc *target = pid2proc(target_pid);
        int retval;
 {
        struct proc *target = pid2proc(target_pid);
        int retval;
+
        if (!target) {
                if (target_pid == 0)
                        return prov_resource(0, res_type, res_val);
        if (!target) {
                if (target_pid == 0)
                        return prov_resource(0, res_type, res_val);
@@ -1444,11 +1417,13 @@ static int sys_notify(struct proc *p, int target_pid, unsigned int ev_type,
 {
        struct event_msg local_msg = {0};
        struct proc *target = get_controllable_proc(p, target_pid);
 {
        struct event_msg local_msg = {0};
        struct proc *target = get_controllable_proc(p, target_pid);
+
        if (!target)
                return -1;
        /* if the user provided an ev_msg, copy it in and use that */
        if (u_msg) {
        if (!target)
                return -1;
        /* if the user provided an ev_msg, copy it in and use that */
        if (u_msg) {
-               if (memcpy_from_user(p, &local_msg, u_msg, sizeof(struct event_msg))) {
+               if (memcpy_from_user(p, &local_msg, u_msg,
+                                    sizeof(struct event_msg))) {
                        proc_decref(target);
                        set_errno(EINVAL);
                        return -1;
                        proc_decref(target);
                        set_errno(EINVAL);
                        return -1;
@@ -1469,9 +1444,11 @@ static int sys_self_notify(struct proc *p, uint32_t vcoreid,
                            bool priv)
 {
        struct event_msg local_msg = {0};
                            bool priv)
 {
        struct event_msg local_msg = {0};
+
        /* if the user provided an ev_msg, copy it in and use that */
        if (u_msg) {
        /* if the user provided an ev_msg, copy it in and use that */
        if (u_msg) {
-               if (memcpy_from_user(p, &local_msg, u_msg, sizeof(struct event_msg))) {
+               if (memcpy_from_user(p, &local_msg, u_msg,
+                                    sizeof(struct event_msg))) {
                        set_errno(EINVAL);
                        return -1;
                }
                        set_errno(EINVAL);
                        return -1;
                }
@@ -1479,13 +1456,20 @@ static int sys_self_notify(struct proc *p, uint32_t vcoreid,
                local_msg.ev_type = ev_type;
        }
        if (local_msg.ev_type >= MAX_NR_EVENT) {
                local_msg.ev_type = ev_type;
        }
        if (local_msg.ev_type >= MAX_NR_EVENT) {
-               printk("[kernel] received self-notify for vcoreid %d, ev_type %d, "
-                      "u_msg %p, u_msg->type %d\n", vcoreid, ev_type, u_msg,
-                      u_msg ? u_msg->ev_type : 0);
+               printk("[kernel] received self-notify for vcoreid %d, "
+                      "ev_type %d, u_msg %p, u_msg->type %d\n", vcoreid,
+                      ev_type, u_msg, u_msg ? u_msg->ev_type : 0);
                return -1;
        }
                return -1;
        }
-       /* this will post a message and IPI, regardless of wants/needs/debutantes.*/
-       post_vcore_event(p, &local_msg, vcoreid, priv ? EVENT_VCORE_PRIVATE : 0);
+       if (!proc_vcoreid_is_safe(p, vcoreid)) {
+               set_error(EINVAL, "vcoreid %d out of range %d", vcoreid,
+                         p->procinfo->max_vcores);
+               return -1;
+       }
+       /* this will post a message and IPI, regardless of
+        * wants/needs/debutantes.*/
+       post_vcore_event(p, &local_msg, vcoreid,
+                        priv ? EVENT_VCORE_PRIVATE : 0);
        proc_notify(p, vcoreid);
        return 0;
 }
        proc_notify(p, vcoreid);
        return 0;
 }
@@ -1495,8 +1479,17 @@ static int sys_send_event(struct proc *p, struct event_queue *ev_q,
 {
        struct event_msg local_msg = {0};
 
 {
        struct event_msg local_msg = {0};
 
-       if (memcpy_from_user(p, &local_msg, u_msg, sizeof(struct event_msg))) {
-               set_errno(EINVAL);
+       if (memcpy_from_user_errno(p, &local_msg, u_msg,
+                                  sizeof(struct event_msg))) {
+               return -1;
+       }
+       if (!is_user_rwaddr(ev_q, sizeof(struct event_queue))) {
+               set_error(EINVAL, "bad event_queue %p", ev_q);
+               return -1;
+       }
+       if (!proc_vcoreid_is_safe(p, vcoreid)) {
+               set_error(EINVAL, "vcoreid %d out of range %d", vcoreid,
+                         p->procinfo->max_vcores);
                return -1;
        }
        send_event(p, ev_q, &local_msg, vcoreid);
                return -1;
        }
        send_event(p, ev_q, &local_msg, vcoreid);
@@ -1538,12 +1531,13 @@ static int sys_vc_entry(struct proc *p)
  * notif will wake it up, but it won't break it out of a uthread loop. */
 static int sys_halt_core(struct proc *p, unsigned long usec)
 {
  * notif will wake it up, but it won't break it out of a uthread loop. */
 static int sys_halt_core(struct proc *p, unsigned long usec)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
+       struct per_cpu_info *pcpui = this_pcpui_ptr();
        struct preempt_data *vcpd;
 
        /* The user can only halt CG cores!  (ones it owns) */
        if (management_core())
                return -1;
        struct preempt_data *vcpd;
 
        /* The user can only halt CG cores!  (ones it owns) */
        if (management_core())
                return -1;
+       rcu_report_qs();
        disable_irq();
        /* both for accounting and possible RKM optimizations */
        __set_cpu_state(pcpui, CPU_STATE_IDLE);
        disable_irq();
        /* both for accounting and possible RKM optimizations */
        __set_cpu_state(pcpui, CPU_STATE_IDLE);
@@ -1554,12 +1548,13 @@ static int sys_halt_core(struct proc *p, unsigned long usec)
                return 0;
        }
        vcpd = &p->procdata->vcore_preempt_data[pcpui->owning_vcoreid];
                return 0;
        }
        vcpd = &p->procdata->vcore_preempt_data[pcpui->owning_vcoreid];
-       /* We pretend to not be in vcore context so other cores will send us IPIs
-        * (__notify).  If we do get a __notify, we'll have set notif_disabled back
-        * on before we handle the message, since it's a routine KMSG.  Note that
-        * other vcores will think we are not in vcore context.  This is no
-        * different to when we pop contexts: 'briefly' leave VC ctx, check
-        * notif_pending, and (possibly) abort and set notif_disabled. */
+       /* We pretend to not be in vcore context so other cores will send us
+        * IPIs (__notify).  If we do get a __notify, we'll have set
+        * notif_disabled back on before we handle the message, since it's a
+        * routine KMSG.  Note that other vcores will think we are not in vcore
+        * context.  This is no different to when we pop contexts: 'briefly'
+        * leave VC ctx, check notif_pending, and (possibly) abort and set
+        * notif_disabled. */
        vcpd->notif_disabled = false;
        cpu_halt_notif_pending(vcpd);
        __set_cpu_state(pcpui, CPU_STATE_KERNEL);
        vcpd->notif_disabled = false;
        cpu_halt_notif_pending(vcpd);
        __set_cpu_state(pcpui, CPU_STATE_KERNEL);
@@ -1575,6 +1570,7 @@ static int sys_halt_core(struct proc *p, unsigned long usec)
 static int sys_change_to_m(struct proc *p)
 {
        int retval = proc_change_to_m(p);
 static int sys_change_to_m(struct proc *p)
 {
        int retval = proc_change_to_m(p);
+
        /* convert the kernel error code into (-1, errno) */
        if (retval) {
                set_errno(-retval);
        /* convert the kernel error code into (-1, errno) */
        if (retval) {
                set_errno(-retval);
@@ -1600,21 +1596,23 @@ static int sys_pop_ctx(struct proc *p, struct user_context *ctx)
        int vcoreid = pcpui->owning_vcoreid;
        struct preempt_data *vcpd = &p->procdata->vcore_preempt_data[vcoreid];
 
        int vcoreid = pcpui->owning_vcoreid;
        struct preempt_data *vcpd = &p->procdata->vcore_preempt_data[vcoreid];
 
-       /* With change_to, there's a bunch of concerns about changing the vcore map,
-        * since the kernel may have already locked and sent preempts, deaths, etc.
+       /* With change_to, there's a bunch of concerns about changing the vcore
+        * map, since the kernel may have already locked and sent preempts,
+        * deaths, etc.
         *
         * In this case, we don't care as much.  Other than notif_pending and
         * notif_disabled, it's more like we're just changing a few registers in
         *
         * In this case, we don't care as much.  Other than notif_pending and
         * notif_disabled, it's more like we're just changing a few registers in
-        * cur_ctx.  We can safely order-after any kernel messages or other changes,
-        * as if the user had done all of the changes we'll make and then did a
-        * no-op syscall.
+        * cur_ctx.  We can safely order-after any kernel messages or other
+        * changes, as if the user had done all of the changes we'll make and
+        * then did a no-op syscall.
         *
         * Since we are mucking with current_ctx, it is important that we don't
         * block before or during this syscall. */
        arch_finalize_ctx(pcpui->cur_ctx);
        if (copy_from_user(pcpui->cur_ctx, ctx, sizeof(struct user_context))) {
         *
         * Since we are mucking with current_ctx, it is important that we don't
         * block before or during this syscall. */
        arch_finalize_ctx(pcpui->cur_ctx);
        if (copy_from_user(pcpui->cur_ctx, ctx, sizeof(struct user_context))) {
-               /* The 2LS isn't really in a position to handle errors.  At the very
-                * least, we can print something and give them a fresh vc ctx. */
+               /* The 2LS isn't really in a position to handle errors.  At the
+                * very least, we can print something and give them a fresh vc
+                * ctx. */
                printk("[kernel] unable to copy user_ctx, 2LS bug\n");
                memset(pcpui->cur_ctx, 0, sizeof(struct user_context));
                proc_init_ctx(pcpui->cur_ctx, vcoreid, vcpd->vcore_entry,
                printk("[kernel] unable to copy user_ctx, 2LS bug\n");
                memset(pcpui->cur_ctx, 0, sizeof(struct user_context));
                proc_init_ctx(pcpui->cur_ctx, vcoreid, vcpd->vcore_entry,
@@ -1622,12 +1620,13 @@ static int sys_pop_ctx(struct proc *p, struct user_context *ctx)
                return -1;
        }
        proc_secure_ctx(pcpui->cur_ctx);
                return -1;
        }
        proc_secure_ctx(pcpui->cur_ctx);
-       /* The caller leaves vcore context no matter what.  We'll put them back in
-        * if they missed a message. */
+       /* The caller leaves vcore context no matter what.  We'll put them back
+        * in if they missed a message. */
        vcpd->notif_disabled = FALSE;
        wrmb(); /* order disabled write before pending read */
        if (vcpd->notif_pending)
        vcpd->notif_disabled = FALSE;
        wrmb(); /* order disabled write before pending read */
        if (vcpd->notif_pending)
-               send_kernel_message(pcoreid, __notify, (long)p, 0, 0, KMSG_ROUTINE);
+               send_kernel_message(pcoreid, __notify, (long)p, 0, 0,
+                                   KMSG_ROUTINE);
        return 0;
 }
 
        return 0;
 }
 
@@ -1637,6 +1636,14 @@ static int sys_vmm_add_gpcs(struct proc *p, unsigned int nr_more_gpcs,
        ERRSTACK(1);
        struct vmm *vmm = &p->vmm;
 
        ERRSTACK(1);
        struct vmm *vmm = &p->vmm;
 
+       /* We do a copy_from_user in __vmm_add_gpcs, but it ought to be clear
+        * from the syscall.c code if we did our error checking. */
+       if (!is_user_rwaddr(gpcis, sizeof(struct vmm_gpcore_init) *
+                                  nr_more_gpcs)) {
+               set_error(EINVAL, "bad user addr %p + %p", gpcis,
+                         sizeof(struct vmm_gpcore_init) * nr_more_gpcs);
+               return -1;
+       }
        qlock(&vmm->qlock);
        if (waserror()) {
                qunlock(&vmm->qlock);
        qlock(&vmm->qlock);
        if (waserror()) {
                qunlock(&vmm->qlock);
@@ -1691,7 +1698,8 @@ static int sys_vmm_ctl(struct proc *p, int cmd, unsigned long arg1,
                break;
        case VMM_CTL_SET_FLAGS:
                if (arg1 & ~VMM_CTL_ALL_FLAGS)
                break;
        case VMM_CTL_SET_FLAGS:
                if (arg1 & ~VMM_CTL_ALL_FLAGS)
-                       error(EINVAL, "Bad vmm_ctl flags.  Got 0x%lx, allowed 0x%lx\n",
+                       error(EINVAL,
+                             "Bad vmm_ctl flags.  Got 0x%lx, allowed 0x%lx\n",
                              arg1, VMM_CTL_ALL_FLAGS);
                vmm->flags = arg1;
                ret = 0;
                              arg1, VMM_CTL_ALL_FLAGS);
                vmm->flags = arg1;
                ret = 0;
@@ -1716,6 +1724,7 @@ static int sys_poke_ksched(struct proc *p, int target_pid,
 {
        struct proc *target;
        int retval = 0;
 {
        struct proc *target;
        int retval = 0;
+
        if (!target_pid) {
                poke_ksched(p, res_type);
                return 0;
        if (!target_pid) {
                poke_ksched(p, res_type);
                return 0;
@@ -1738,13 +1747,13 @@ out:
 
 static int sys_abort_sysc(struct proc *p, struct syscall *sysc)
 {
 
 static int sys_abort_sysc(struct proc *p, struct syscall *sysc)
 {
-       return abort_sysc(p, sysc);
+       return abort_sysc(p, (uintptr_t)sysc);
 }
 
 static int sys_abort_sysc_fd(struct proc *p, int fd)
 {
 }
 
 static int sys_abort_sysc_fd(struct proc *p, int fd)
 {
-       /* Consider checking for a bad fd.  Doesn't matter now, since we only look
-        * for actual syscalls blocked that had used fd. */
+       /* Consider checking for a bad fd.  Doesn't matter now, since we only
+        * look for actual syscalls blocked that had used fd. */
        return abort_all_sysc_fd(p, fd);
 }
 
        return abort_all_sysc_fd(p, fd);
 }
 
@@ -1756,12 +1765,22 @@ static unsigned long sys_populate_va(struct proc *p, uintptr_t va,
 
 static intreg_t sys_read(struct proc *p, int fd, void *buf, size_t len)
 {
 
 static intreg_t sys_read(struct proc *p, int fd, void *buf, size_t len)
 {
+       if (!is_user_rwaddr(buf, len)) {
+               set_error(EINVAL, "bad user addr %p + %p", buf, len);
+               return -1;
+       }
        sysc_save_str("read on fd %d", fd);
        return sysread(fd, buf, len);
 }
 
 static intreg_t sys_write(struct proc *p, int fd, const void *buf, size_t len)
 {
        sysc_save_str("read on fd %d", fd);
        return sysread(fd, buf, len);
 }
 
 static intreg_t sys_write(struct proc *p, int fd, const void *buf, size_t len)
 {
+       /* We'll let this one include read-only areas, unlike most other
+        * syscalls that take bufs created and written by the user. */
+       if (!is_user_raddr(buf, len)) {
+               set_error(EINVAL, "bad user addr %p + %p", buf, len);
+               return -1;
+       }
        sysc_save_str("write on fd %d", fd);
        return syswrite(fd, (void*)buf, len);
 }
        sysc_save_str("write on fd %d", fd);
        return syswrite(fd, (void*)buf, len);
 }
@@ -1776,7 +1795,8 @@ static intreg_t sys_openat(struct proc *p, int fromfd, const char *path,
 
        printd("File %s Open attempt oflag %x mode %x\n", path, oflag, mode);
        if ((oflag & O_PATH) && (oflag & O_ACCMODE)) {
 
        printd("File %s Open attempt oflag %x mode %x\n", path, oflag, mode);
        if ((oflag & O_PATH) && (oflag & O_ACCMODE)) {
-               set_error(EINVAL, "Cannot open O_PATH with any I/O perms (O%o)", oflag);
+               set_error(EINVAL, "Cannot open O_PATH with any I/O perms (O%o)",
+                         oflag);
                return -1;
        }
        t_path = copy_in_path(p, path, path_l);
                return -1;
        }
        t_path = copy_in_path(p, path, path_l);
@@ -1823,7 +1843,8 @@ static intreg_t sys_fstat(struct proc *p, int fd, struct kstat *u_stat)
                kfree(kbuf);
                return -1;
        }
                kfree(kbuf);
                return -1;
        }
-       /* TODO: UMEM: pin the memory, copy directly, and skip the kernel buffer */
+       /* TODO: UMEM: pin the memory, copy directly, and skip the kernel buffer
+        */
        if (memcpy_to_user_errno(p, u_stat, kbuf, sizeof(struct kstat))) {
                kfree(kbuf);
                return -1;
        if (memcpy_to_user_errno(p, u_stat, kbuf, sizeof(struct kstat))) {
                kfree(kbuf);
                return -1;
@@ -1853,7 +1874,8 @@ static intreg_t stat_helper(struct proc *p, const char *path, size_t path_l,
        retval = sysstatakaros(t_path, (struct kstat *)kbuf, flags);
        if (retval < 0)
                goto out_with_kbuf;
        retval = sysstatakaros(t_path, (struct kstat *)kbuf, flags);
        if (retval < 0)
                goto out_with_kbuf;
-       /* TODO: UMEM: pin the memory, copy directly, and skip the kernel buffer */
+       /* TODO: UMEM: pin the memory, copy directly, and skip the kernel buffer
+        */
        if (memcpy_to_user_errno(p, u_stat, kbuf, sizeof(struct kstat)))
                retval = -1;
        /* Fall-through */
        if (memcpy_to_user_errno(p, u_stat, kbuf, sizeof(struct kstat)))
                retval = -1;
        /* Fall-through */
@@ -1881,31 +1903,32 @@ static intreg_t sys_lstat(struct proc *p, const char *path, size_t path_l,
 intreg_t sys_fcntl(struct proc *p, int fd, int cmd, unsigned long arg1,
                    unsigned long arg2, unsigned long arg3, unsigned long arg4)
 {
 intreg_t sys_fcntl(struct proc *p, int fd, int cmd, unsigned long arg1,
                    unsigned long arg2, unsigned long arg3, unsigned long arg4)
 {
-       int retval = 0;
-       int newfd;
-
        switch (cmd) {
        case (F_DUPFD):
        switch (cmd) {
        case (F_DUPFD):
-               newfd = arg1;
-               if (newfd < 0) {
-                       set_errno(EBADF);
-                       return -1;
-               }
                /* TODO: glibc uses regular DUPFD for dup2, which is racy. */
                /* TODO: glibc uses regular DUPFD for dup2, which is racy. */
-               return sysdup(fd, newfd, FALSE);
+               return sysdup(fd, arg1, FALSE);
        case (F_GETFD):
        case (F_GETFD):
+               return fd_get_fd_flags(&p->open_files, fd);
        case (F_SETFD):
        case (F_SETFD):
+               if (arg1 & ~FD_VALID_FLAGS) {
+                       set_error(EINVAL, "Bad FD flags %p, valid are %p", arg1,
+                                 FD_VALID_FLAGS);
+                       return -1;
+               }
+               return fd_set_fd_flags(&p->open_files, fd, arg1);
        case (F_SYNC):
        case (F_SYNC):
-       case (F_ADVISE):
-               /* TODO: 9ns versions */
-               return 0;
+               return fd_chan_ctl(fd, CCTL_SYNC, 0, 0, 0, 0);
        case (F_GETFL):
                return fd_getfl(fd);
        case (F_SETFL):
        case (F_GETFL):
                return fd_getfl(fd);
        case (F_SETFL):
-               return fd_setfl(fd, arg1);
+               return fd_chan_ctl(fd, CCTL_SET_FL, arg1, 0, 0, 0);
+       default:
+               /* chanctl and fcntl share flags */
+               if (cmd >= F_CHANCTL_BASE)
+                       return fd_chan_ctl(fd, cmd, arg1, arg2, arg3, arg4);
+               set_error(EINVAL, "Unsupported fcntl cmd %d", cmd);
+               return -1;
        }
        }
-       set_errno(EBADF);
-       return -1;
 }
 
 static intreg_t sys_access(struct proc *p, const char *path, size_t path_l,
 }
 
 static intreg_t sys_access(struct proc *p, const char *path, size_t path_l,
@@ -1920,7 +1943,8 @@ static intreg_t sys_access(struct proc *p, const char *path, size_t path_l,
        dir = sysdirstat(t_path);
        if (!dir)
                goto out;
        dir = sysdirstat(t_path);
        if (!dir)
                goto out;
-       if ((mode == F_OK) || caller_has_dir_perms(dir, access_bits_to_omode(mode)))
+       if ((mode == F_OK) ||
+           caller_has_dir_perms(dir, access_bits_to_omode(mode)))
                retval = 0;
        kfree(dir);
 out:
                retval = 0;
        kfree(dir);
 out:
@@ -1963,9 +1987,11 @@ intreg_t sys_link(struct proc *p, char *old_path, size_t old_l,
 {
        int ret;
        char *t_oldpath = copy_in_path(p, old_path, old_l);
 {
        int ret;
        char *t_oldpath = copy_in_path(p, old_path, old_l);
+
        if (t_oldpath == NULL)
                return -1;
        char *t_newpath = copy_in_path(p, new_path, new_l);
        if (t_oldpath == NULL)
                return -1;
        char *t_newpath = copy_in_path(p, new_path, new_l);
+
        if (t_newpath == NULL) {
                free_path(p, t_oldpath);
                return -1;
        if (t_newpath == NULL) {
                free_path(p, t_oldpath);
                return -1;
@@ -1994,9 +2020,11 @@ intreg_t sys_symlink(struct proc *p, char *old_path, size_t old_l,
 {
        int ret;
        char *t_oldpath = copy_in_path(p, old_path, old_l);
 {
        int ret;
        char *t_oldpath = copy_in_path(p, old_path, old_l);
+
        if (t_oldpath == NULL)
                return -1;
        char *t_newpath = copy_in_path(p, new_path, new_l);
        if (t_oldpath == NULL)
                return -1;
        char *t_newpath = copy_in_path(p, new_path, new_l);
+
        if (t_newpath == NULL) {
                free_path(p, t_oldpath);
                return -1;
        if (t_newpath == NULL) {
                free_path(p, t_oldpath);
                return -1;
@@ -2014,11 +2042,13 @@ intreg_t sys_readlink(struct proc *p, char *path, size_t path_l,
        ssize_t copy_amt;
        int ret = -1;
        char *t_path = copy_in_path(p, path, path_l);
        ssize_t copy_amt;
        int ret = -1;
        char *t_path = copy_in_path(p, path, path_l);
-       struct dir *dir = NULL;
+       struct dir *dir;
 
        if (t_path == NULL)
                return -1;
        dir = sysdirlstat(t_path);
 
        if (t_path == NULL)
                return -1;
        dir = sysdirlstat(t_path);
+       if (!dir)
+               return -1;
        if (!(dir->mode & DMSYMLINK))
                set_error(EINVAL, "not a symlink: %s", t_path);
        else
        if (!(dir->mode & DMSYMLINK))
                set_error(EINVAL, "not a symlink: %s", t_path);
        else
@@ -2042,12 +2072,17 @@ static intreg_t sys_chdir(struct proc *p, pid_t pid, const char *path,
 
        if (!target)
                return -1;
 
        if (!target)
                return -1;
+       if ((target != p) && (target->state != PROC_CREATED)) {
+               proc_decref(target);
+               set_error(EINVAL, "pid %d has already started", pid);
+               return -1;
+       }
        t_path = copy_in_path(p, path, path_l);
        if (!t_path) {
                proc_decref(target);
                return -1;
        }
        t_path = copy_in_path(p, path, path_l);
        if (!t_path) {
                proc_decref(target);
                return -1;
        }
-       retval = syschdir(t_path);
+       retval = syschdir(target, t_path);
        free_path(p, t_path);
        proc_decref(target);
        return retval;
        free_path(p, t_path);
        proc_decref(target);
        return retval;
@@ -2060,15 +2095,24 @@ static intreg_t sys_fchdir(struct proc *p, pid_t pid, int fd)
 
        if (!target)
                return -1;
 
        if (!target)
                return -1;
-       retval = sysfchdir(fd);
+       if ((target != p) && (target->state != PROC_CREATED)) {
+               proc_decref(target);
+               set_error(EINVAL, "pid %d has already started", pid);
+               return -1;
+       }
+       retval = sysfchdir(target, fd);
        proc_decref(target);
        return retval;
 }
 
        proc_decref(target);
        return retval;
 }
 
-/* Note cwd_l is not a strlen, it's an absolute size */
+/* Note cwd_l is not a strlen, it's an absolute size.
+ * Same as with readlink, we give them a null-terminated string, and we return
+ * strlen, which doesn't include the \0.  If we can't give them the \0, we'll
+ * error out.  Our readlink also does that, which is not POSIX-like. */
 intreg_t sys_getcwd(struct proc *p, char *u_cwd, size_t cwd_l)
 {
 intreg_t sys_getcwd(struct proc *p, char *u_cwd, size_t cwd_l)
 {
-       int retval = 0;
+       ssize_t retval = -1;
+       size_t copy_amt;
        char *k_cwd;
 
        k_cwd = sysgetcwd();
        char *k_cwd;
 
        k_cwd = sysgetcwd();
@@ -2076,13 +2120,13 @@ intreg_t sys_getcwd(struct proc *p, char *u_cwd, size_t cwd_l)
                set_error(EINVAL, "unable to getcwd");
                return -1;
        }
                set_error(EINVAL, "unable to getcwd");
                return -1;
        }
-       if (strlen(k_cwd) + 1 > cwd_l) {
-               set_error(ERANGE, "getcwd buf too small, needed %d", strlen(k_cwd) + 1);
-               retval = -1;
+       copy_amt = strlen(k_cwd) + 1;
+       if (copy_amt > cwd_l) {
+               set_error(ERANGE, "getcwd buf too small, needed %d", copy_amt);
                goto out;
        }
                goto out;
        }
-       if (memcpy_to_user_errno(p, u_cwd, k_cwd, strlen(k_cwd) + 1))
-               retval = -1;
+       if (!memcpy_to_user_errno(p, u_cwd, k_cwd, copy_amt))
+               retval = copy_amt - 1;
 out:
        kfree(k_cwd);
        return retval;
 out:
        kfree(k_cwd);
        return retval;
@@ -2125,6 +2169,7 @@ intreg_t sys_tcgetattr(struct proc *p, int fd, void *termios_p)
        /* TODO: actually support this call on tty FDs.  Right now, we just fake
         * what my linux box reports for a bash pty. */
        struct termios *kbuf = kmalloc(sizeof(struct termios), 0);
        /* TODO: actually support this call on tty FDs.  Right now, we just fake
         * what my linux box reports for a bash pty. */
        struct termios *kbuf = kmalloc(sizeof(struct termios), 0);
+
        kbuf->c_iflag = 0x2d02;
        kbuf->c_oflag = 0x0005;
        kbuf->c_cflag = 0x04bf;
        kbuf->c_iflag = 0x2d02;
        kbuf->c_oflag = 0x0005;
        kbuf->c_cflag = 0x04bf;
@@ -2206,14 +2251,17 @@ intreg_t sys_nbind(struct proc *p,
 {
        int ret;
        char *t_srcpath = copy_in_path(p, src_path, src_l);
 {
        int ret;
        char *t_srcpath = copy_in_path(p, src_path, src_l);
+
        if (t_srcpath == NULL) {
                printd("srcpath dup failed ptr %p size %d\n", src_path, src_l);
                return -1;
        }
        char *t_ontopath = copy_in_path(p, onto_path, onto_l);
        if (t_srcpath == NULL) {
                printd("srcpath dup failed ptr %p size %d\n", src_path, src_l);
                return -1;
        }
        char *t_ontopath = copy_in_path(p, onto_path, onto_l);
+
        if (t_ontopath == NULL) {
                free_path(p, t_srcpath);
        if (t_ontopath == NULL) {
                free_path(p, t_srcpath);
-               printd("ontopath dup failed ptr %p size %d\n", onto_path, onto_l);
+               printd("ontopath dup failed ptr %p size %d\n", onto_path,
+                      onto_l);
                return -1;
        }
        printd("sys_nbind: %s -> %s flag %d\n", t_srcpath, t_ontopath, flag);
                return -1;
        }
        printd("sys_nbind: %s -> %s flag %d\n", t_srcpath, t_ontopath, flag);
@@ -2238,6 +2286,7 @@ intreg_t sys_nmount(struct proc *p,
 
        afd = -1;
        char *t_ontopath = copy_in_path(p, onto_path, onto_l);
 
        afd = -1;
        char *t_ontopath = copy_in_path(p, onto_path, onto_l);
+
        if (t_ontopath == NULL)
                return -1;
        ret = sysmount(fd, afd, t_ontopath, flag, /* spec or auth */"/");
        if (t_ontopath == NULL)
                return -1;
        ret = sysmount(fd, afd, t_ontopath, flag, /* spec or auth */"/");
@@ -2258,6 +2307,7 @@ intreg_t sys_nunmount(struct proc *p, char *src_path, int src_l,
 {
        int ret;
        char *t_ontopath, *t_srcpath;
 {
        int ret;
        char *t_ontopath, *t_srcpath;
+
        t_ontopath = copy_in_path(p, onto_path, onto_l);
        if (t_ontopath == NULL)
                return -1;
        t_ontopath = copy_in_path(p, onto_path, onto_l);
        if (t_ontopath == NULL)
                return -1;
@@ -2281,10 +2331,11 @@ intreg_t sys_fd2path(struct proc *p, int fd, void *u_buf, size_t len)
        int ret = 0;
        struct chan *ch;
        ERRSTACK(1);
        int ret = 0;
        struct chan *ch;
        ERRSTACK(1);
-       /* UMEM: Check the range, can PF later and kill if the page isn't present */
+
+       /* UMEM: Check the range, can PF later and kill if the page isn't
+        * present */
        if (!is_user_rwaddr(u_buf, len)) {
        if (!is_user_rwaddr(u_buf, len)) {
-               printk("[kernel] bad user addr %p (+%p) in %s (user bug)\n", u_buf,
-                      len, __FUNCTION__);
+               set_error(EINVAL, "bad user addr %p + %p", u_buf, len);
                return -1;
        }
        /* fdtochan throws */
                return -1;
        }
        /* fdtochan throws */
@@ -2306,8 +2357,13 @@ intreg_t sys_wstat(struct proc *p, char *path, size_t path_l,
                    uint8_t *stat_m, size_t stat_sz, int flags)
 {
        int retval = 0;
                    uint8_t *stat_m, size_t stat_sz, int flags)
 {
        int retval = 0;
-       char *t_path = copy_in_path(p, path, path_l);
+       char *t_path;
 
 
+       if (!is_user_rwaddr(stat_m, stat_sz)) {
+               set_error(EINVAL, "bad user addr %p + %p", stat_m, stat_sz);
+               return -1;
+       }
+       t_path = copy_in_path(p, path, path_l);
        if (!t_path)
                return -1;
        retval = syswstat(t_path, stat_m, stat_sz);
        if (!t_path)
                return -1;
        retval = syswstat(t_path, stat_m, stat_sz);
@@ -2318,6 +2374,10 @@ intreg_t sys_wstat(struct proc *p, char *path, size_t path_l,
 intreg_t sys_fwstat(struct proc *p, int fd, uint8_t *stat_m, size_t stat_sz,
                     int flags)
 {
 intreg_t sys_fwstat(struct proc *p, int fd, uint8_t *stat_m, size_t stat_sz,
                     int flags)
 {
+       if (!is_user_rwaddr(stat_m, stat_sz)) {
+               set_error(EINVAL, "bad user addr %p + %p", stat_m, stat_sz);
+               return -1;
+       }
        return sysfwstat(fd, stat_m, stat_sz);
 }
 
        return sysfwstat(fd, stat_m, stat_sz);
 }
 
@@ -2345,7 +2405,8 @@ static intreg_t sys_dup_fds_to(struct proc *p, unsigned int pid,
        int slot;
 
        if (!is_user_rwaddr(map, sizeof(struct childfdmap) * nentries)) {
        int slot;
 
        if (!is_user_rwaddr(map, sizeof(struct childfdmap) * nentries)) {
-               set_errno(EINVAL);
+               set_error(EINVAL, "bad user addr %p + %p", map,
+                         sizeof(struct childfdmap) * nentries);
                return -1;
        }
        child = get_controllable_proc(p, pid);
                return -1;
        }
        child = get_controllable_proc(p, pid);
@@ -2369,13 +2430,13 @@ static intreg_t sys_dup_fds_to(struct proc *p, unsigned int pid,
 static int handle_tap_req(struct proc *p, struct fd_tap_req *req)
 {
        switch (req->cmd) {
 static int handle_tap_req(struct proc *p, struct fd_tap_req *req)
 {
        switch (req->cmd) {
-               case (FDTAP_CMD_ADD):
-                       return add_fd_tap(p, req);
-               case (FDTAP_CMD_REM):
-                       return remove_fd_tap(p, req->fd);
-               default:
-                       set_error(ENOSYS, "FD Tap Command %d not supported", req->cmd);
-                       return -1;
+       case (FDTAP_CMD_ADD):
+               return add_fd_tap(p, req);
+       case (FDTAP_CMD_REM):
+               return remove_fd_tap(p, req->fd);
+       default:
+               set_error(ENOSYS, "FD Tap Command %d not supported", req->cmd);
+               return -1;
        }
 }
 
        }
 }
 
@@ -2387,8 +2448,10 @@ static intreg_t sys_tap_fds(struct proc *p, struct fd_tap_req *tap_reqs,
 {
        struct fd_tap_req *req_i = tap_reqs;
        int done;
 {
        struct fd_tap_req *req_i = tap_reqs;
        int done;
+
        if (!is_user_rwaddr(tap_reqs, sizeof(struct fd_tap_req) * nr_reqs)) {
        if (!is_user_rwaddr(tap_reqs, sizeof(struct fd_tap_req) * nr_reqs)) {
-               set_errno(EINVAL);
+               set_error(EINVAL, "bad user addr %p + %p", tap_reqs,
+                         sizeof(struct fd_tap_req) * nr_reqs);
                return 0;
        }
        for (done = 0; done < nr_reqs; done++, req_i++) {
                return 0;
        }
        for (done = 0; done < nr_reqs; done++, req_i++) {
@@ -2488,14 +2551,15 @@ const int max_syscall = sizeof(syscall_table)/sizeof(syscall_table[0]);
 intreg_t syscall(struct proc *p, uintreg_t sc_num, uintreg_t a0, uintreg_t a1,
                  uintreg_t a2, uintreg_t a3, uintreg_t a4, uintreg_t a5)
 {
 intreg_t syscall(struct proc *p, uintreg_t sc_num, uintreg_t a0, uintreg_t a1,
                  uintreg_t a2, uintreg_t a3, uintreg_t a4, uintreg_t a5)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
        intreg_t ret = -1;
        ERRSTACK(1);
 
        if (sc_num > max_syscall || syscall_table[sc_num].call == NULL) {
        intreg_t ret = -1;
        ERRSTACK(1);
 
        if (sc_num > max_syscall || syscall_table[sc_num].call == NULL) {
-               printk("[kernel] Invalid syscall %d for proc %d\n", sc_num, p->pid);
-               printk("\tArgs: %p, %p, %p, %p, %p, %p\n", a0, a1, a2, a3, a4, a5);
-               print_user_ctx(per_cpu_info[core_id()].cur_ctx);
+               printk("[kernel] Invalid syscall %d for proc %d\n", sc_num,
+                      p->pid);
+               printk("\tArgs: %p, %p, %p, %p, %p, %p\n", a0, a1, a2, a3, a4,
+                      a5);
+               print_user_ctx(this_pcpui_var(cur_ctx));
                return -1;
        }
 
                return -1;
        }
 
@@ -2513,13 +2577,14 @@ intreg_t syscall(struct proc *p, uintreg_t sc_num, uintreg_t a0, uintreg_t a1,
        ret = syscall_table[sc_num].call(p, a0, a1, a2, a3, a4, a5);
        //printd("after syscall errstack base %p\n", get_cur_errbuf());
        if (get_cur_errbuf() != &errstack[0]) {
        ret = syscall_table[sc_num].call(p, a0, a1, a2, a3, a4, a5);
        //printd("after syscall errstack base %p\n", get_cur_errbuf());
        if (get_cur_errbuf() != &errstack[0]) {
-               /* Can't trust coreid and vcoreid anymore, need to check the trace */
+               /* Can't trust coreid and vcoreid anymore, need to check the
+                * trace */
                printk("[%16llu] Syscall %3d (%12s):(%p, %p, %p, %p, "
                       "%p, %p) proc: %d\n", read_tsc(),
                       sc_num, syscall_table[sc_num].name, a0, a1, a2, a3,
                       a4, a5, p->pid);
                if (sc_num != SYS_fork)
                printk("[%16llu] Syscall %3d (%12s):(%p, %p, %p, %p, "
                       "%p, %p) proc: %d\n", read_tsc(),
                       sc_num, syscall_table[sc_num].name, a0, a1, a2, a3,
                       a4, a5, p->pid);
                if (sc_num != SYS_fork)
-                       printk("YOU SHOULD PANIC: errstack mismatch");
+                       panic("errstack mismatch");
        }
        return ret;
 }
        }
        return ret;
 }
@@ -2527,24 +2592,25 @@ intreg_t syscall(struct proc *p, uintreg_t sc_num, uintreg_t a0, uintreg_t a1,
 /* Execute the syscall on the local core */
 void run_local_syscall(struct syscall *sysc)
 {
 /* Execute the syscall on the local core */
 void run_local_syscall(struct syscall *sysc)
 {
-       struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
+       struct per_cpu_info *pcpui = this_pcpui_ptr();
        struct proc *p = pcpui->cur_proc;
        long retval;
 
        struct proc *p = pcpui->cur_proc;
        long retval;
 
-       /* In lieu of pinning, we just check the sysc and will PF on the user addr
-        * later (if the addr was unmapped).  Which is the plan for all UMEM. */
+       /* In lieu of pinning, we just check the sysc and will PF on the user
+        * addr later (if the addr was unmapped).  Which is the plan for all
+        * UMEM. */
        if (!is_user_rwaddr(sysc, sizeof(struct syscall))) {
        if (!is_user_rwaddr(sysc, sizeof(struct syscall))) {
-               printk("[kernel] bad user addr %p (+%p) in %s (user bug)\n", sysc,
-                      sizeof(struct syscall), __FUNCTION__);
+               printk("[kernel] bad user addr %p (+%p) in %s (user bug)\n",
+                      sysc, sizeof(struct syscall), __FUNCTION__);
                return;
        }
                return;
        }
-       pcpui->cur_kthread->sysc = sysc;        /* let the core know which sysc it is */
+       pcpui->cur_kthread->sysc = sysc;/* let the core know which sysc it is */
        unset_errno();
        systrace_start_trace(pcpui->cur_kthread, sysc);
        unset_errno();
        systrace_start_trace(pcpui->cur_kthread, sysc);
-       pcpui = &per_cpu_info[core_id()];       /* reload again */
+       pcpui = this_pcpui_ptr();       /* reload again */
        alloc_sysc_str(pcpui->cur_kthread);
        alloc_sysc_str(pcpui->cur_kthread);
-       /* syscall() does not return for exec and yield, so put any cleanup in there
-        * too. */
+       /* syscall() does not return for exec and yield, so put any cleanup in
+        * there too. */
        retval = syscall(pcpui->cur_proc, sysc->num, sysc->arg0, sysc->arg1,
                         sysc->arg2, sysc->arg3, sysc->arg4, sysc->arg5);
        finish_current_sysc(retval);
        retval = syscall(pcpui->cur_proc, sysc->num, sysc->arg0, sysc->arg1,
                         sysc->arg2, sysc->arg3, sysc->arg4, sysc->arg5);
        finish_current_sysc(retval);
@@ -2563,8 +2629,8 @@ void prep_syscalls(struct proc *p, struct syscall *sysc, unsigned int nr_syscs)
        /* For all after the first call, send ourselves a KMSG (TODO). */
        if (nr_syscs != 1)
                warn("Only one supported (Debutante calls: %d)\n", nr_syscs);
        /* For all after the first call, send ourselves a KMSG (TODO). */
        if (nr_syscs != 1)
                warn("Only one supported (Debutante calls: %d)\n", nr_syscs);
-       /* Call the first one directly.  (we already checked to make sure there is
-        * 1) */
+       /* Call the first one directly.  (we already checked to make sure there
+        * is 1) */
        run_local_syscall(sysc);
 }
 
        run_local_syscall(sysc);
 }
 
@@ -2577,7 +2643,9 @@ void __signal_syscall(struct syscall *sysc, struct proc *p)
 {
        struct event_queue *ev_q;
        struct event_msg local_msg;
 {
        struct event_queue *ev_q;
        struct event_msg local_msg;
-       /* User sets the ev_q then atomically sets the flag (races with SC_DONE) */
+
+       /* User sets the ev_q then atomically sets the flag (races with SC_DONE)
+        */
        if (atomic_read(&sysc->flags) & SC_UEVENT) {
                rmb();  /* read the ev_q after reading the flag */
                ev_q = sysc->ev_q;
        if (atomic_read(&sysc->flags) & SC_UEVENT) {
                rmb();  /* read the ev_q after reading the flag */
                ev_q = sysc->ev_q;
@@ -2585,6 +2653,11 @@ void __signal_syscall(struct syscall *sysc, struct proc *p)
                        memset(&local_msg, 0, sizeof(struct event_msg));
                        local_msg.ev_type = EV_SYSCALL;
                        local_msg.ev_arg3 = sysc;
                        memset(&local_msg, 0, sizeof(struct event_msg));
                        local_msg.ev_type = EV_SYSCALL;
                        local_msg.ev_arg3 = sysc;
+                       if (!is_user_rwaddr(ev_q, sizeof(struct event_queue))) {
+                               printk("[kernel] syscall had bad ev_q %p\n",
+                                      ev_q);
+                               return;
+                       }
                        send_event(p, ev_q, &local_msg, 0);
                }
        }
                        send_event(p, ev_q, &local_msg, 0);
                }
        }
@@ -2593,30 +2666,31 @@ void __signal_syscall(struct syscall *sysc, struct proc *p)
 bool syscall_uses_fd(struct syscall *sysc, int fd)
 {
        switch (sysc->num) {
 bool syscall_uses_fd(struct syscall *sysc, int fd)
 {
        switch (sysc->num) {
-               case (SYS_read):
-               case (SYS_write):
-               case (SYS_close):
-               case (SYS_fstat):
-               case (SYS_fcntl):
-               case (SYS_llseek):
-               case (SYS_nmount):
-               case (SYS_fd2path):
-                       if (sysc->arg0 == fd)
-                               return TRUE;
-                       return FALSE;
-               case (SYS_mmap):
-                       /* mmap always has to be special. =) */
-                       if (sysc->arg4 == fd)
-                               return TRUE;
-                       return FALSE;
-               default:
-                       return FALSE;
+       case (SYS_read):
+       case (SYS_write):
+       case (SYS_close):
+       case (SYS_fstat):
+       case (SYS_fcntl):
+       case (SYS_llseek):
+       case (SYS_nmount):
+       case (SYS_fd2path):
+               if (sysc->arg0 == fd)
+                       return TRUE;
+               return FALSE;
+       case (SYS_mmap):
+               /* mmap always has to be special. =) */
+               if (sysc->arg4 == fd)
+                       return TRUE;
+               return FALSE;
+       default:
+               return FALSE;
        }
 }
 
 void print_sysc(struct proc *p, struct syscall *sysc)
 {
        uintptr_t old_p = switch_to(p);
        }
 }
 
 void print_sysc(struct proc *p, struct syscall *sysc)
 {
        uintptr_t old_p = switch_to(p);
+
        printk("SYS_%d, flags %p, a0 %p, a1 %p, a2 %p, a3 %p, a4 %p, a5 %p\n",
               sysc->num, atomic_read(&sysc->flags),
               sysc->arg0, sysc->arg1, sysc->arg2, sysc->arg3, sysc->arg4,
        printk("SYS_%d, flags %p, a0 %p, a1 %p, a2 %p, a3 %p, a4 %p, a5 %p\n",
               sysc->num, atomic_read(&sysc->flags),
               sysc->arg0, sysc->arg1, sysc->arg2, sysc->arg3, sysc->arg4,