Checkpoint는 취약점 악용을 더욱 어렵게 만드는 Safe-Linking 보호 기술을 제안했습니다.

체크포인트 컴퍼니 제시 malloc 호출을 실행할 때 할당된 버퍼에 대한 포인터의 정의 또는 수정을 조작하는 공격을 생성하기 어렵게 만드는 안전 연결 보호 메커니즘입니다. 안전 연결은 취약점 악용 가능성을 완전히 차단하지는 않지만 최소한의 오버헤드로 특정 범주의 악용 생성을 상당히 복잡하게 만듭니다. 메모리의 힙 배치.

안전 연결을 구현하는 패치는 Glibc(ptmalloc), uClibc-NG(dlmalloc), gperftools(tcmalloc) 및 Google TCMalloc에 ​​대해 준비되었으며 Chromium(
2012년부터 Chromium은 동일한 문제를 해결하기 위해 이미 MaskPtr 보호 기술을 내장했지만 Checkpoint의 솔루션은 더 높은 성능을 보여줍니다.
제안된 패치는 이미 8월 릴리스에서 제공되도록 승인되었습니다. Glibc 3.32 안전 연결은 기본적으로 활성화됩니다. uClibc-NG는 안전 연결을 지원합니다. 입력 릴리스 1.0.33에 포함되어 있으며 기본적으로 활성화되어 있습니다. gperftools의 변경 사항(이전 tcmalloc) 허용이지만 향후 릴리스에서는 옵션으로 제공될 예정입니다.

개발자 TCMalloc (새로운 tcmalloc) 수락을 거부했습니다. 변화, 심각한 성능 저하와 모든 것이 예상대로 작동하는지 정기적으로 확인하기 위해 광범위한 테스트를 추가해야 한다는 점을 언급했습니다. Checkpoint 엔지니어의 테스트에 따르면 Safe-Linking 방법은 추가 메모리 소비로 이어지지 않으며 힙 작업 수행 시 성능은 평균 0.02%, 최악의 경우 1.5% 감소하는 것으로 나타났습니다. Chromium에서 사용하는 방법은 "2% 미만"으로 추정됩니다.) 포함
안전 연결을 사용하면 free()가 호출될 때마다 2~3개의 추가 어셈블리 명령어가 실행되고, malloc()이 호출될 때마다 3~4개의 명령어가 실행됩니다. 초기화 및 임의 값 생성 단계를 실행할 필요가 없습니다.

안전 연결은 다양한 힙 구현의 보안을 향상시킬 뿐만 아니라 버퍼 자체 옆에 있는 단일 연결 포인터 목록을 사용하는 모든 데이터 구조에 무결성 제어를 추가하는 데에도 사용할 수 있습니다. 이 방법은 구현이 매우 간단하며 하나의 매크로만 추가하고 이를 코드의 다음 블록에 대한 포인터에 적용하면 됩니다(예: Glibc의 경우). 변화 코드 몇 줄만 있으면 됩니다). 이 방법은 다음과 같은 변경 사항으로 요약됩니다.

+#PROTECT_PTR 정의(pos, ptr) \
+ ((__typeof (ptr)) ((((size_t) pos) >> 12) ^ ((size_t) ptr)))

+#define REVEAL_PTR(ptr) PROTECT_PTR(&ptr, ptr)

- nextp = p->fd;
+ nextp = REVEAL_PTR (p->fd);
...

이 방법의 핵심은 ASLR 주소 무작위화 메커니즘(mmap_base)의 무작위 데이터를 사용하여 Fast-Bins 및 TCache와 같은 단일 연결 목록을 보호하는 것입니다. 값이 목록의 다음 요소에 대한 포인터에 적용되기 전에 마스크 변환을 수행하고 페이지 정렬을 확인합니다. 포인터는 "(L >> PAGE_SHIFT) XOR (P)" 연산의 결과로 대체됩니다. 여기서 P는 포인터의 값이고 L은 포인터가 저장된 메모리 위치입니다.

시스템에서 사용하는 경우 ASLR (Address Space Layout Randomization) 힙 기본 주소가 있는 L 비트의 일부에는 P를 인코딩하는 키로 사용되는 랜덤 값이 포함됩니다(12바이트 페이지에 대해 4096비트 시프트 연산으로 추출). 포인터가 원래 형식으로 저장되지 않고 포인터를 교체하려면 힙 할당에 대한 지식이 필요하기 때문에 이러한 조작을 통해 익스플로잇에서 포인터 하이재킹의 위험이 줄어듭니다. 또한 패치 코드에는 공격자가 포인터를 정렬되지 않은 값으로 교체하는 것을 허용하지 않는 블록 정렬에 대한 추가 검사도 포함되어 있으며 정렬된 비트 수에 대한 지식이 필요합니다. 이는 64비트 시스템에서 추가로 차단을 허용합니다. 15번 중 16번은 정렬을 고려하지 않은 공격 시도입니다.

이 방법은 부분 포인터 다시 쓰기(낮은 바이트 변경), 전체 포인터 다시 쓰기(공격자의 코드로 리디렉션) 및 정렬되지 않은 주소에서 목록 위치 변경을 사용하는 공격으로부터 보호하는 데 효과적입니다. 예를 들어, malloc에서 Safe-Linking을 사용하면 최근 악용을 차단할 수 있는 것으로 나타났습니다. 확인됨 동일한 취약점 연구원에 의해 CVE-2020-6007 Philips Hue Bridge 스마트 조명에서는 버퍼 오버플로로 인해 장치를 제어할 수 있게 됩니다.

출처 : opennet.ru