Checkpoint har erbjudit en skyddsteknik som kallas Safe-Linking, vilket komplicerar utnyttjandet av sårbarheter.

Företaget Checkpoint har presenterat Skyddsmekanismen Safe-Linking gör det svårare att skapa exploateringar som manipulerar tilldelningen eller ändringen av pekare till buffrar som allokeras vid anrop av malloc. Safe-Linking blockerar inte helt möjligheten att utnyttja sårbarheter, men med minimala overheadkostnader komplicerar det avsevärt skapandet av vissa kategorier av exploateringar, eftersom förutom den utnyttjade buffertöverskridningen måste ytterligare en sårbarhet hittas som orsakar läckage av information om heapens (minnes) placering.

Patcher med implementering av Safe-Linking har förberetts för Glibc (ptmalloc), uClibc-NG (dlmalloc), gperftools (tcmalloc) och Google TCMalloc, och har också föreslagits för att modernisera skyddet i Chromium (i
Chromium har sedan 2012 en teknik som riktar sig mot samma problem, kallad MaskPtr, men lösningen från Checkpoint visar högre prestanda).
De föreslagna patcherna har redan godkänts för leverans i augustiutgåvan Glibc 3.32 och implementeringen av Safe-Linking kommer att inkluderas som standard. I uClibc-NG kommer stöd för Safe-Linking har gått att ingå i version 1.0.33 och inkluderas som standard. För gperftools (gamla tcmalloc) planeras ändringar antogs, men de kommer att erbjudas i en av framtida utgåvor som ett alternativ.

Utvecklare TCMalloc (nya tcmalloc) avböjde att acceptera ändring, och hänvisade till en betydande prestandaförlust och behovet av att lägga till utökade tester för att regelbundet kontrollera att allt fungerar korrekt. Tester utförda av Checkpoint:s ingenjörer visade att metoden Safe-Linking inte medför någon extra minnesanvändning, och prestandan vid utförande av operationer med heapen minskar i genomsnitt endast med 0.02%, medan det under dåliga omständigheter kan gå ner med 1.5% (för jämförelse uppskattas overheadkostnaderna i den metod som tillämpas i Chromium som "mindre än 2%"). Att aktivera
Safe-Linking medför att 2-3 ytterligare assemblerinstruktioner utförs vid varje anrop av free() och 3-4 instruktioner vid anrop av malloc(). Ingen initialisering eller generering av slumpvärden krävs.

Safe-Linking kan användas inte bara för att öka säkerheten för olika heap-implementeringar, utan också för att lägga till integritetskontroller i alla datastrukturer där enkelriktade pekarlistor används, placerade bredvid själva buffrarna. Metoden är mycket enkel att implementera och kräver endast tillägg av en makro och dess användning för pekarna till nästa block i koden (till exempel för Glibc ändras bara några rader kod). Metoden sammanfattas i följande ändringar:

+#define PROTECT_PTR(pos, ptr) \
+ ((__typeof (ptr)) ((((size_t) pos) >> 12) ^ ((size_t) ptr)))

+#define REVEAL_PTR(ptr) PROTECT_PTR (&ptr, ptr)

— nextp = p->fd;
+ nextp = REVEAL_PTR (p->fd);
…

Metodens kärna är att använda slumpmässiga data från adresseringsslumptalsmekanismen ASLR (mmap_base) för att skydda enkelriktade pekarlistor, såsom Fast-Bins och TCache. Innan tillämpning på värdet av pekaren till nästa element i listan genomförs en maskering och kontroll av justering vid minnesblockets gräns. Pekaren ersätts med resultatet av operationen "(L >> PAGE_SHIFT) XOR (P)", där P är pekarens värde, och L är platsen i minnet där denna pekare sparas.

Vid användning i systemet ASLR (Address Space Layout Randomization) innehåller en del av bitarna L med den grundläggande heap-adressen slumpmässiga värden, som används som nyckel för att koda P (utdragen med en 12-bitars skiftning för 4096-bytes sidor). Sådan manipulation minskar risken för att en pekare fångas i ett exploit, eftersom pekaren inte lagras i sitt ursprungliga format och för att ersätta den krävs kunskap om heapens placering. Dessutom finns det en extra justeringskontroll i patchkoden som hindrar en angripare från att ersätta pekaren med ett ojusterat värde och kräver kunskap om antalet bitar som justeringen utförts på, vilket på 64-bitars system dessutom blockerar 15 av 16 attacker som inte tar hänsyn till justering.

Metoden är effektiv för att skydda mot attacker där delvis överskrivning av pekare (ändring av de lägsta bytes) används, fullständig överskrivning av pekare (omdirigering till angriparens kod) och byte av listpositionen vid en ojusterad adress. Som exempel visas att användningen av Safe-Linking i malloc skulle blockera exploatering av nyligen identifierad de samma forskarna sårbarheter CVE-2020-6007 i den smarta belysningen Philips Hue Bridge, orsakad av en buffertöverflödning som möjliggör kontroll över enheten.

Källa: opennet.ru