[論文レビュー] An Analysis of Speculative Type Confusion Vulnerabilities in the Wild

Ofek Kirzner, Adam Morrison|arXiv (Cornell University)|Jun 29, 2021

Security and Verification in Computing被引用数 4

ひとこと要約

本論文は、コンパイラ最適化によって誤ったデータ型で一時的実行が許可されることで、Spectre v1スタイルの側面チャネル攻撃が意図せず導入される、Linuxカーネルにおける推測的型誤用脆弱性を特定する。著者らは、こうした脆弱性が広範にわたり、既存の緩和策では検出されず、分岐予測誤りによって利用可能であることを示し、推測実行攻撃に対する現在のソフトウェア防御における深刻なギャップを露呈する。

ABSTRACT

Spectre v1 attacks, which exploit conditional branch misprediction, are often identified with attacks that bypass array bounds checking to leak data from a victim's memory. Generally, however, Spectre v1 attacks can exploit any conditional branch misprediction that makes the victim execute code incorrectly. In this paper, we investigate speculative type confusion, a Spectre v1 attack vector in which branch mispredictions make the victim execute with variables holding values of the wrong type and thereby leak memory content. We observe that speculative type confusion can be inadvertently introduced by a compiler, making it extremely hard for programmers to reason about security and manually apply Spectre mitigations. We thus set out to determine the extent to which speculative type confusion affects the Linux kernel. Our analysis finds exploitable and potentially-exploitable arbitrary memory disclosure vulnerabilities. We also find many latent vulnerabilities, which could become exploitable due to innocuous system changes, such as coding style changes. Our results suggest that Spectre mitigations which rely on statically/manually identifying "bad" code patterns need to be rethought, and more comprehensive mitigations are needed.

研究の動機と目的

• 分岐予測誤りにより誤った変数型で実行が行われる推測的型誤用が、実世界のシステムで利用可能なメモリ漏洩を引き起こすかどうかを調査すること。
• 特にコンパイラ最適化によって引き起こされた場合に、Linuxカーネルにこうした脆弱性がどれほど広がっているかを特定すること。
• 既存のソフトウェア緩和策が、新たに特定された攻撃ベクトルに対してどれほど効果的かを評価すること。
• 境界チェックバイパスパターンにのみ焦点を当てた現在のSpectre緩和戦略の限界を浮き彫りにすること。

提案手法

• Linuxカーネルのソースおよびコンパイル済みバイナリに対する静的およびバイナリ解析により、推測的型誤用ゲージットを検出する。
• GCC、Clang、ICC、MSVCでコンパイルされたCコードからx86アセンブリを逆アセンブルし、推測的実行パターンを同定する。
• 分岐予測誤りトレーニング技術を用いて、攻撃者が制御可能な値で一時的実行を引き起こすことをテストする。
• 発見されたゲージットに対して、既存のコンパイラおよびOSレベルの緩和策（例：推測的ロードハードニング、lfenceバリア）の有効性を評価する。
• 複数のバージョンおよび最適化レベルでのコンパイラ動作を分析し、どのコンパイラが利用可能な推測的型誤用パターンを生成するかを特定する。
• コード構造および将来の利用可能性に基づき、脆弱性を「利用可能」「潜在的に利用可能」「潜在的（latent）」の3つに分類する。

実験結果

リサーチクエスチョン

• RQ1 コンパイラ生成コードによって引き起こされる推測的型誤用脆弱性は、Linuxカーネルにどの程度広がっているか。
• RQ2 分岐予測誤りを介して推測的型誤用を攻撃可能にすることで、任意のメモリ内容を漏洩させることができるか。
• RQ3 境界チェックバイパス向けに設計された既存のSpectre緩和策が、推測的型誤用攻撃に対してなぜ効果がないのか。
• RQ4 GCC、Clang、ICC、MSVCといった異なるコンパイラは、こうした脆弱性の導入にどのように寄与しているか。
• RQ5 実際の環境において、推測的ロードハードニングや分岐予測遮断バリアといった包括的緩和策の、パフォーマンスとセキュリティのトレードオフはどのようなものか。

主な発見

• Linuxカーネルには、特にレジスタが条件分岐の境界をまたいで破壊されるコードにおいて、コンパイラ最適化によって引き起こされた複数の利用可能な推測的型誤用脆弱性が存在する。
• テストされたすべての主要コンパイラ（GCC、Clang、ICC、MSVC）が、特定の最適化設定下でx86コードを生成する際に推測的型誤用ゲージットを含むことがある。
• MSVCの /Qspectre やGCCのインラインアセンブリベース保護といった既存のSpectre緩和策は、これらのケースをカバーしていない。これは、境界チェックバイパス専用に設計されており、型誤用には対応していないためである。
• 推測的ロードハードニング（SLH）やlfenceバリアは、これらの脆弱性を緩和可能であるが、顕著なパフォーマンスコストを伴う。これにより、よりスケーラブルな解決策の必要性が浮き彫りになる。
• 多くの脆弱性は潜在的であり、コードの再順序付けやリファクタリングといった小さな変更によっても引き起こされる可能性があり、静的解析では検出が困難である。
• 本研究は、現在の緩和戦略に根本的な欠陥を明らかにした：手動による特定または静的検出に依存しており、型誤用ベクトルを捉えられていない。