საკონტროლო პუნქტმა შემოგვთავაზა Safe-Linking დაცვის ტექნიკა, რაც ართულებს მოწყვლადობის გამოყენებას

საგუშაგო კომპანია წარმოდგენილი Safe-Linking დაცვის მექანიზმი, რომელიც ართულებს ექსპლოიტების შექმნას, რომლებიც მანიპულირებენ მაჩვენებლების განმარტებით ან მოდიფიცირებით ბუფერებზე, რომლებიც გამოყოფილია malloc ზარის შესრულებისას. Safe-Linking მთლიანად არ ბლოკავს დაუცველობების გამოყენების შესაძლებლობას, მაგრამ მინიმალური ზედნადებით ის მნიშვნელოვნად ართულებს ექსპლოიტების გარკვეული კატეგორიის შექმნას, რადგან ექსპლუატირებადი ბუფერული გადინების გარდა, აუცილებელია სხვა დაუცველობის პოვნა, რომელიც იწვევს ინფორმაციის გაჟონვას. გროვის მეხსიერებაში განთავსება.

Safe-Linking-ის განმახორციელებელი პატჩები მომზადებულია Glibc (ptmalloc), uClibc-NG (dlmalloc), gperftools (tcmalloc) და Google TCMalloc-ისთვის და ასევე შემოთავაზებულია Chromium-ში დაცვის განახლებისთვის.
2012 წლიდან Chromium-მა უკვე ჩაშენებული აქვს MaskPtr დაცვის ტექნიკა, რომელიც მიზნად ისახავს იგივე პრობლემის გადაჭრას, მაგრამ Checkpoint-ის გადაწყვეტა აჩვენებს უფრო მაღალ შესრულებას).
შემოთავაზებული პატჩები უკვე დამტკიცებულია მიწოდებისთვის აგვისტოს გამოშვებაში გლიბკი 3.32 და Safe-Linking ჩართული იქნება ნაგულისხმევად. uClibc-NG მხარს უჭერს უსაფრთხო კავშირს შევიდა შედის გამოშვებაში 1.0.33 და ჩართულია ნაგულისხმევად. ცვლილებები gperftools-ში (ძველი tcmalloc) მიღებული, მაგრამ შემოთავაზებული იქნება როგორც ვარიანტი მომავალ გამოშვებაში.

დეველოპერები TCMalloc (ახალი tcmalloc) უარი თქვა მიღებაზე შეიცვლება, მოჰყავს შესრულების მკვეთრი დეგრადაცია და ვრცელი ტესტების დამატების აუცილებლობა რეგულარულად შესამოწმებლად, რომ ყველაფერი მუშაობს ისე, როგორც მოსალოდნელია. Checkpoint-ის ინჟინრების ტესტირებამ აჩვენა, რომ Safe-Linking მეთოდი არ იწვევს მეხსიერების დამატებით მოხმარებას და გროვის ოპერაციების შესრულებისას შესრულება მცირდება საშუალოდ მხოლოდ 0.02%-ით, ხოლო უარეს შემთხვევაში 1.5%-ით (შედარებისთვის, ზედნადები Chromium-ში გამოყენებული მეთოდი შეფასებულია როგორც „2%-ზე ნაკლები“). ჩართვა
Safe-Linking იწვევს 2-3 დამატებითი ასამბლეის ინსტრუქციების შესრულებას ყოველ ჯერზე free()-ის გამოძახებისას და 3-4 ინსტრუქციის ყოველ ჯერზე malloc()-ის გამოძახებისას. ინიციალიზაციისა და შემთხვევითი მნიშვნელობის გენერირების ეტაპების გაშვება საჭირო არ არის.

Safe-Linking შეიძლება გამოყენებულ იქნას არა მხოლოდ სხვადასხვა გროვის დანერგვის უსაფრთხოების გასაუმჯობესებლად, არამედ მთლიანობის კონტროლის დასამატებლად ნებისმიერი მონაცემთა სტრუქტურისთვის, რომელიც იყენებს ბუფერების გვერდით მოთავსებულ მაჩვენებლების ცალსახად დაკავშირებულ სიებს. მეთოდის განხორციელება ძალიან მარტივია და მოითხოვს მხოლოდ ერთი მაკროს დამატებას და მის გამოყენებას კოდში შემდეგი ბლოკის მაჩვენებლებზე (მაგალითად, Glibc-ისთვის იცვლება კოდის მხოლოდ რამდენიმე ხაზი). მეთოდი ემყარება შემდეგ ცვლილებებს:

+#define PROTECT_PTR(pos, ptr) \
+ ((__ტიპი (ptr)) ((((ზომა_t) pos) >> 12) ^ ((ზომა_t) ptr)))

+#define REVEAL_PTR(ptr) PROTECT_PTR (&ptr, ptr)

- nextp = p->fd;
+ შემდეგი = REVEAL_PTR (p->fd);
...

მეთოდის არსი მდგომარეობს იმაში, რომ გამოიყენოს შემთხვევითი მონაცემები ASLR მისამართების რანდომიზაციის მექანიზმიდან (mmap_base) ცალკე დაკავშირებული სიების დასაცავად, როგორიცაა Fast-Bins და TCache. სანამ მნიშვნელობა გამოიყენება მაჩვენებელზე სიის შემდეგი ელემენტისკენ, ის ახორციელებს ნიღბის კონვერტაციას და ამოწმებს გვერდის გასწორებას. კურსორი ჩანაცვლებულია ოპერაციის შედეგით "(L >> PAGE_SHIFT) XOR (P)", სადაც P არის მაჩვენებლის მნიშვნელობა და L არის მეხსიერების ადგილი, სადაც ის ინახება.

სისტემაში გამოყენებისას ASLR (Address Space Layout Randomization) L ბიტების ნაწილი გროვის ბაზის მისამართით შეიცავს შემთხვევით მნიშვნელობებს, რომლებიც გამოიყენება P-ის კოდირებისთვის გასაღებად (ამოღებულია 12-ბიტიანი ცვლის ოპერაციით 4096 ბაიტიანი გვერდებისთვის). ეს მანიპულირება ამცირებს პოინტერის გატაცების რისკს ექსპლოიტის დროს, რადგან მაჩვენებელი არ ინახება თავდაპირველ ფორმაში და მისი ჩანაცვლება მოითხოვს გროვის განაწილების ცოდნას. გარდა ამისა, პატჩის კოდი ასევე შეიცავს დამატებით შემოწმებას ბლოკის გასწორებაზე, რომელიც არ აძლევს თავდამსხმელს საშუალებას შეცვალოს მაჩვენებელი გაუსწორებელი მნიშვნელობით და მოითხოვს გასწორებული ბიტების რაოდენობის ცოდნას, რაც 64-ბიტიან სისტემებზე დამატებით იძლევა დაბლოკვის საშუალებას. 15 თავდასხმის მცდელობიდან 16 , რომელიც არ ითვალისწინებს გასწორებას .

მეთოდი ეფექტურია თავდასხმებისგან დასაცავად, რომლებიც იყენებენ ინდიკატორის ნაწილობრივ გადაწერას (დაბალი ბაიტების შეცვლას), მაჩვენებლის სრულ გადაწერას (თავდამსხმელის კოდზე გადამისამართებას) და სიის პოზიციის შესაცვლელად გაუსწორებელ მისამართზე. მაგალითად, ნაჩვენებია, რომ Safe-Linking-ის გამოყენება malloc-ში საშუალებას მისცემს დაბლოკოს ექსპლუატაცია ბოლო დროს იდენტიფიცირებული იგივე დაუცველობის მკვლევარების მიერ CVE-2020-6007 Philips Hue Bridge-ის ჭკვიან განათებაში, რომელიც გამოწვეულია ბუფერის გადაჭარბებით და საშუალებას გაძლევთ გააკონტროლოთ მოწყობილობა.

წყარო: opennet.ru