Checkpoint ໄດ້ສະເຫນີເຕັກນິກການປົກປ້ອງ Safe-Linking, ເຮັດໃຫ້ມັນມີຄວາມຫຍຸ້ງຍາກຫຼາຍໃນການຂຸດຄົ້ນຊ່ອງຫວ່າງ

ບໍລິສັດດ່ານ ນຳ ສະ ເໜີ ກົນໄກການປົກປ້ອງການເຊື່ອມໂຍງທີ່ປອດໄພ, ເຊິ່ງເຮັດໃຫ້ມັນຍາກທີ່ຈະສ້າງການຂູດຮີດທີ່ດັດແປງຄໍານິຍາມຫຼືການດັດແກ້ຂອງຕົວຊີ້ໄປຫາ buffers ທີ່ຖືກຈັດສັນໃນເວລາທີ່ປະຕິບັດການໂທ malloc. Safe-Linking ບໍ່ໄດ້ປິດກັ້ນຄວາມເປັນໄປໄດ້ຂອງການຂູດຮີດຊ່ອງໂຫວ່ທັງໝົດ, ແຕ່ມີສ່ວນເກີນໜ້ອຍທີ່ສຸດ, ມັນເຮັດໃຫ້ເກີດຄວາມສັບສົນຢ່າງໃຫຍ່ຫຼວງຕໍ່ການສ້າງບາງປະເພດການຂູດຮີດ, ເພາະວ່ານອກຈາກ buffer overflow ທີ່ສາມາດຂູດຮີດໄດ້, ມັນຈໍາເປັນຕ້ອງຊອກຫາຊ່ອງໂຫວ່ອື່ນທີ່ເຮັດໃຫ້ເກີດການຮົ່ວໄຫຼຂອງຂໍ້ມູນກ່ຽວກັບ. ການຈັດວາງຂອງ heap ໃນຄວາມຊົງຈໍາ.

Patches ການປະຕິບັດ Safe-Linking ໄດ້ຖືກກະກຽມສໍາລັບ Glibc (ptmalloc), uClibc-NG (dlmalloc), gperftools (tcmalloc) ແລະ Google TCMalloc, ແລະຍັງໄດ້ຖືກສະເຫນີສໍາລັບການຍົກລະດັບການປົກປ້ອງໃນ Chromium (ໃນ
ນັບຕັ້ງແຕ່ປີ 2012, Chromium ໄດ້ສ້າງແລ້ວໃນເຕັກນິກການປົກປ້ອງ MaskPtr ເພື່ອແນໃສ່ແກ້ໄຂບັນຫາດຽວກັນ, ແຕ່ການແກ້ໄຂຈາກ Checkpoint ສະແດງໃຫ້ເຫັນເຖິງການປະຕິບັດທີ່ສູງຂຶ້ນ).
ແຜ່ນທີ່ແນະນໍາໄດ້ຮັບການອະນຸມັດແລ້ວສໍາລັບການຈັດສົ່ງໃນເດືອນສິງຫາ glibc 3.32 ແລະ Safe-Linking ຈະຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ. uCibc-NG ຮອງຮັບ Safe-Linking ເຂົ້າ ລວມຢູ່ໃນການປ່ອຍ 1.0.33 ແລະຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ. ການປ່ຽນແປງໃນ gperftools (tcmalloc ເກົ່າ) ຍອມຮັບ, ແຕ່ຈະຖືກສະເຫນີເປັນທາງເລືອກໃນການປ່ອຍໃນອະນາຄົດ.

ນັກພັດທະນາ TCMalloc (tcmalloc ໃຫມ່) ປະຕິເສດທີ່ຈະຍອມຮັບ ປ່ຽນແປງ, ອ້າງເຖິງການເສື່ອມໂຊມປະສິດທິພາບຢ່າງຮຸນແຮງແລະຄວາມຕ້ອງການທີ່ຈະເພີ່ມການທົດສອບຢ່າງກວ້າງຂວາງເພື່ອກວດກາເປັນປົກກະຕິວ່າທຸກສິ່ງທຸກຢ່າງແມ່ນເຮັດວຽກຕາມຄາດ. ການທົດສອບໂດຍວິສະວະກອນ Checkpoint ສະແດງໃຫ້ເຫັນວ່າວິທີການ Safe-Linking ບໍ່ໄດ້ນໍາໄປສູ່ການບໍລິໂພກຫນ່ວຍຄວາມຈໍາເພີ່ມເຕີມ, ແລະການປະຕິບັດໃນເວລາທີ່ປະຕິບັດການ heap ຫຼຸດລົງໂດຍສະເລ່ຍພຽງແຕ່ 0.02%, ແລະໃນກໍລະນີຮ້າຍແຮງທີ່ສຸດໂດຍ 1.5% (ສໍາລັບການປຽບທຽບ, ຄ່າໃຊ້ຈ່າຍເກີນຄ່າໃຊ້ຈ່າຍ. ໃນວິທີການທີ່ໃຊ້ໃນ Chromium ແມ່ນຄາດຄະເນວ່າ "ຫນ້ອຍກວ່າ 2%"). ລວມ
Safe-Linking ຜົນໄດ້ຮັບໃນ 2-3 ຄໍາແນະນໍາການປະກອບເພີ່ມເຕີມທີ່ຖືກປະຕິບັດໃນແຕ່ລະຄັ້ງ free() ຖືກເອີ້ນ, ແລະຄໍາແນະນໍາ 3-4 ແຕ່ລະຄັ້ງ malloc() ຖືກເອີ້ນ. ການດໍາເນີນການເລີ່ມຕົ້ນແລະຂັ້ນຕອນການສ້າງມູນຄ່າແບບສຸ່ມແມ່ນບໍ່ຈໍາເປັນ.

Safe-Linking ສາມາດຖືກນໍາໃຊ້ບໍ່ພຽງແຕ່ເພື່ອປັບປຸງຄວາມປອດໄພຂອງການປະຕິບັດ heap ຕ່າງໆ, ແຕ່ຍັງເພື່ອເພີ່ມການຄວບຄຸມຄວາມຊື່ສັດໃຫ້ກັບໂຄງສ້າງຂໍ້ມູນໃດໆທີ່ນໍາໃຊ້ລາຍຊື່ຕົວຊີ້ທີ່ເຊື່ອມຕໍ່ດຽວທີ່ວາງໄວ້ຂ້າງ buffers ຕົວເອງ. ວິທີການແມ່ນງ່າຍດາຍຫຼາຍທີ່ຈະປະຕິບັດແລະພຽງແຕ່ຕ້ອງການເພີ່ມມະຫາພາກຫນຶ່ງແລະນໍາໃຊ້ມັນກັບຕົວຊີ້ໄປຫາບລັອກຕໍ່ໄປໃນລະຫັດ (ຕົວຢ່າງ, ສໍາລັບ Glibc. ການປ່ຽນແປງ ພຽງແຕ່ສອງສາມເສັ້ນຂອງລະຫັດ). ວິທີການຕົ້ມກັບການປ່ຽນແປງດັ່ງຕໍ່ໄປນີ້:

+#define PROTECT_PTR(pos, ptr) \
+ ((__typeof (ptr)) ((((size_t) pos) >> 12) ^ ((size_t) ptr)))

+#define REVEAL_PTR(ptr) PROTECT_PTR (&ptr, ptr)

- ຕໍ່ໄປ = p->fd;
+ nextp = REVEAL_PTR (p->fd);
...

ໂດຍເນື້ອແທ້ແລ້ວຂອງວິທີການແມ່ນການນໍາໃຊ້ຂໍ້ມູນແບບສຸ່ມຈາກກົນໄກການ Randomization ທີ່ຢູ່ ASLR (mmap_base) ເພື່ອປົກປ້ອງລາຍຊື່ທີ່ເຊື່ອມຕໍ່ດຽວເຊັ່ນ Fast-Bins ແລະ TCache. ກ່ອນທີ່ຄ່າຈະຖືກນໍາໃຊ້ກັບຕົວຊີ້ໄປຫາອົງປະກອບຕໍ່ໄປໃນບັນຊີລາຍຊື່, ມັນປະຕິບັດການແປງຫນ້າກາກແລະກວດເບິ່ງການຈັດລໍາດັບຫນ້າ. ຕົວຊີ້ຖືກແທນທີ່ດ້ວຍຜົນຂອງການດໍາເນີນງານ "(L>> PAGE_SHIFT) XOR (P)", ເຊິ່ງ P ແມ່ນຄ່າຂອງຕົວຊີ້ແລະ L ແມ່ນສະຖານທີ່ຫນ່ວຍຄວາມຈໍາທີ່ຕົວຊີ້ຖືກເກັບໄວ້.

ເມື່ອໃຊ້ໃນລະບົບ ASLR (Address Space Layout Randomization) ສ່ວນຫນຶ່ງຂອງ L bits ກັບ heap base address ປະກອບດ້ວຍຄ່າສຸ່ມທີ່ຖືກນໍາໃຊ້ເປັນກຸນແຈເພື່ອເຂົ້າລະຫັດ P (ສະກັດໂດຍການປະຕິບັດການປ່ຽນ 12-bit ສໍາລັບຫນ້າ 4096-byte). ການຫມູນໃຊ້ນີ້ຊ່ວຍຫຼຸດຜ່ອນຄວາມສ່ຽງຕໍ່ການລັກລອບຕົວຊີ້ໃນການຂູດຮີດ, ເນື່ອງຈາກຕົວຊີ້ບໍ່ໄດ້ຖືກເກັບໄວ້ໃນຮູບແບບຕົ້ນສະບັບຂອງມັນແລະການປ່ຽນແທນມັນຮຽກຮ້ອງໃຫ້ມີຄວາມຮູ້ກ່ຽວກັບການຈັດສັນ heap. ນອກຈາກນັ້ນ, ລະຫັດ patch ຍັງມີການກວດສອບເພີ່ມເຕີມສໍາລັບການຈັດຕໍາແຫນ່ງຂອງຕັນ, ເຊິ່ງບໍ່ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີປ່ຽນຕົວຊີ້ດ້ວຍຄ່າທີ່ບໍ່ສອດຄ່ອງແລະຕ້ອງການຄວາມຮູ້ກ່ຽວກັບຈໍານວນບິດທີ່ສອດຄ່ອງ, ເຊິ່ງໃນລະບົບ 64-bit ຍັງອະນຸຍາດໃຫ້ບລັອກ. ການ​ໂຈມ​ຕີ 15 ​ໃນ 16 ​ເທື່ອ​ທີ່​ບໍ່​ໄດ້​ຮັບ​ຄວາມ​ເຂົ້າ​ໃຈ​ກ່ຽວ​ກັບ​ການ​ໂຈມ​ຕີ.

ວິທີການດັ່ງກ່າວມີປະສິດທິພາບໃນການປົກປ້ອງການໂຈມຕີທີ່ໃຊ້ການຂຽນຄືນໃຫມ່ຂອງຕົວຊີ້ບາງສ່ວນ (ການປ່ຽນແປງ bytes ຕ່ໍາ), ການຂຽນຄືນໃຫມ່ຂອງຕົວຊີ້ສໍາເລັດ (ການປ່ຽນເສັ້ນທາງໄປຫາລະຫັດຂອງຜູ້ໂຈມຕີ) ແລະປ່ຽນຕໍາແຫນ່ງລາຍຊື່ຢູ່ໃນທີ່ຢູ່ທີ່ບໍ່ສອດຄ່ອງ. ເປັນຕົວຢ່າງ, ມັນໄດ້ສະແດງໃຫ້ເຫັນວ່າການນໍາໃຊ້ Safe-Linking ໃນ malloc ຈະຊ່ວຍໃຫ້ການສະກັດການຂູດຮີດບໍ່ດົນມານີ້ ກໍານົດ ໂດຍນັກຄົ້ນຄວ້າຄວາມສ່ຽງດຽວກັນ CVE-2020-6007 ໃນໄຟອັດສະລິຍະ Philips Hue Bridge, ທີ່ເກີດຈາກການລົ້ນຂອງ buffer ແລະຊ່ວຍໃຫ້ທ່ານສາມາດຄວບຄຸມອຸປະກອນໄດ້.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru