Checkpoint предложи техника за защита Safe-Linking, което прави по-трудно използването на уязвимости

Фирма Чекпойнт представени Механизъм за защита Safe-Linking, който затруднява създаването на експлойти, които манипулират дефиницията или модификацията на указатели към буфери, разпределени при изпълнение на malloc повикване. Safe-Linking не блокира напълно възможността за използване на уязвимости, но с минимални разходи значително усложнява създаването на определени категории експлойти, тъй като в допълнение към експлоатируемото препълване на буфера е необходимо да се намери друга уязвимост, която причинява изтичане на информация за поставянето на купчината в паметта.

Подготвени са корекции, прилагащи Safe-Linking за Glibc (ptmalloc), uClibc-NG (dlmalloc), gperftools (tcmalloc) и Google TCMalloc, и също така се предлагат за надграждане на защитата в Chromium (в
От 2012 г. Chromium вече е вградил защитната техника MaskPtr, насочена към решаване на същия проблем, но решението от Checkpoint демонстрира по-висока производителност).
Предложените корекции вече са одобрени за доставка в изданието през август Glibc 3.32 и безопасното свързване ще бъде активирано по подразбиране. uClibc-NG поддържа безопасно свързване вписано включено във версия 1.0.33 и е активирано по подразбиране. Промени в gperftools (стар tcmalloc) прието, но ще се предлага като опция в бъдеща версия.

Разработчици TCMalloc (нов tcmalloc) отказа да приеме промяна, цитирайки сериозно влошаване на производителността и необходимостта от добавяне на обширни тестове за редовна проверка дали всичко работи според очакванията. Тестването от инженерите на Checkpoint показа, че методът Safe-Linking не води до допълнителна консумация на памет и производителността при извършване на операции с куп се намалява средно само с 0.02%, а в най-лошия случай с 1.5% (за сравнение, режийните разходи в методът, използван в Chromium, се оценява като „по-малко от 2%“). Включване
Безопасното свързване води до изпълнение на 2-3 допълнителни инструкции за асемблиране при всяко извикване на free() и 3-4 инструкции при всяко извикване на malloc(). Изпълнението на етапите на инициализация и генериране на произволна стойност не е необходимо.

Safe-Linking може да се използва не само за подобряване на сигурността на различни изпълнения на купчина, но и за добавяне на контроли за интегритет към всякакви структури от данни, които използват единично свързани списъци от указатели, поставени до самите буфери. Методът е много лесен за изпълнение и изисква само добавяне на един макрос и прилагането му към указатели към следващия блок в кода (например за Glibc промени само няколко реда код). Методът се свежда до следните промени:

+#define PROTECT_PTR(pos, ptr) \
+ ((__typeof (ptr)) ((((size_t) pos) >> 12) ^ ((size_t) ptr)))

+#define REVEAL_PTR(ptr) PROTECT_PTR (&ptr, ptr)

- nextp = p->fd;
+ nextp = REVEAL_PTR (p->fd);
...

Същността на метода е да се използват произволни данни от механизма за рандомизиране на адреси ASLR (mmap_base), за да се защитят единично свързани списъци като Fast-Bins и TCache. Преди стойността да бъде приложена към указател към следващия елемент в списъка, тя извършва преобразуване на маска и проверява за подравняване на страницата. Указателят се заменя с резултата от операцията "(L >> PAGE_SHIFT) XOR (P)", където P е стойността на указателя, а L е мястото в паметта, където се съхранява указателят.

Когато се използва в системата ASLR (Рандомизация на оформлението на адресното пространство) част от L бита с основния адрес на купчината съдържа произволни стойности, които се използват като ключ за кодиране на P (извлечен чрез 12-битова операция за изместване за 4096-байтови страници). Тази манипулация намалява риска от отвличане на указател в експлойт, тъй като указателят не се съхранява в оригиналната си форма и замяната му изисква познаване на разпределението на купчината. Освен това кодът на корекцията съдържа и допълнителна проверка за подравняване на блокове, която не позволява на атакуващия да замени указател с неподравнена стойност и изисква познаване на броя битове, които са подравнени, което на 64-битовите системи допълнително позволява блокиране 15 от 16 опита за атака, които не вземат предвид подравняването.

Методът е ефективен за защита срещу атаки, които използват частично пренаписване на указател (промяна на ниски байтове), пълно пренаписване на указател (пренасочване към кода на атакуващия) и промяна на позицията в списъка на неподравнен адрес. Като пример е показано, че използването на Safe-Linking в malloc би позволило блокиране на експлоатация наскоро идентифицирани от същите изследователи на уязвимости CVE-2020 6007- в интелигентната светлина Philips Hue Bridge, причинена от препълване на буфера и ви позволява да получите контрол над устройството.

Източник: opennet.ru