[論文レビュー] Binary-level Directed Fuzzing for Use-After-Free Vulnerabilities

Manh-Dung Nguyen, Sébastien Bardin+3 more|arXiv (Cornell University)|Feb 25, 2020

Software Testing and Debugging Techniques参考文献 50被引用数 19

ひとこと要約

UAFuzzは、バグスタックトレース、軽量なバイナリインストルメンテーション、および専用のUAF固有のトライエージングメカニズムを活用して、使用後解放（UAF）脆弱性を検出することを目的とした、初めてのバイナリレベルの指向型グレーボックスファズァーである。AFLGo や Hawkeye よりも顕著に優れた故障検出率、露出までの時間、パッチテスト性能を示し、Perl や GPAC、GNU Patch などの実世界のソフトウェアで30件の新しいUAFバグ（7件のCVE）を発見した。

ABSTRACT

Directed fuzzing focuses on automatically testing specific parts of the code by taking advantage of additional information such as (partial) bug stack trace, patches or risky operations. Key applications include bug reproduction, patch testing and static analysis report verification. Although directed fuzzing has received a lot of attention recently, hard-to-detect vulnerabilities such as Use-After-Free (UAF) are still not well addressed, especially at the binary level. We propose UAFUZZ, the first (binary-level) directed greybox fuzzer dedicated to UAF bugs. The technique features a fuzzing engine tailored to UAF specifics, a lightweight code instrumentation and an efficient bug triage step. Experimental evaluation for bug reproduction on real cases demonstrates that UAFUZZ significantly outperforms state-of-the-art directed fuzzers in terms of fault detection rate, time to exposure and bug triaging. UAFUZZ has also been proven effective in patch testing, leading to the discovery of 30 new bugs (7 CVEs) in programs such as Perl, GPAC and GNU Patch. Finally, we provide to the community a large fuzzing benchmark dedicated to UAF, built on both real codes and real bugs.

研究の動機と目的

• 従来のファズァーが、複雑な時間的・空間的制約のため失敗するバイナリプログラムにおける、検出が困難なUAF脆弱性を検出する課題に対処すること。
• ASan や Valgrind といった高コストな後処理分析に依存するが、UAF固有のガイダンスを欠いた既存の指向型ファズァーの限界を克服すること。
• 最小限のインストルメンテーションオーバーヘッドで済ませる、ソースコードに依存しない効率的なUAF検出を実現するため、バイナリ上で直接動作するファズァーを設計すること。
• PoCの生成をスケーラブルかつ正確に効率的に行える方法を提供することで、バグの再現性とパッチテストを向上させること。
• 将来的な研究と評価を支援するため、大規模かつ現実世界のベンチマークを構築すること。

提案手法

• 同じメモリ領域における割り当て（alloc）、解放（free）、使用（use）の時間的順序に基づいて、入力生成を優先するUAF固有のファズィングエンジンを設計すること。
• Binsecフレームワークを用いて、顕著なパフォーマンスオーバーヘッドを伴わずに制御フローおよびデータフロー情報を収集する、軽量なバイナリインストルメンテーションを実装すること。
• 実行時におけるメモリアクセスパターンとシーケンス整合性の分析により、潜在的なUAFトリガーを特定する、画期的なUAFトライエージングステップを導入すること。
• スタックトレース駆動のガイダンスを用いてUAF関連のコードパスに焦点を当てつつ、AFL-QEMUと統合してカバレッジガイドドな変異を活用すること。
• 静的バイナリ解析と動的実行監視を組み合わせたバイナリレベルの分析パイプラインを構築し、ソースコードなしでUAFパターンを検出すること。
• シンボリック実行とタンパリングトラッキングの組み合わせにより、3イベントUAFシーケンス（alloc → free → use）を満たすシードを検証および優先順位付けすること。

実験結果

リサーチクエスチョン

• RQ1 ソースコードが入手不可または変更が不実用なバイナリレベルにおいて、UAF脆弱性を効果的に検出できる指向型グレーボックスファズァーを設計できるか？
• RQ2 alloc、free、useの時間的順序に基づくUAF固有のガイダンスは、一般的なカバレッジガイドドファズィングや一般指向ファズィングと比較して、故障検出をどの程度向上させるか？
• RQ3 軽量なバイナリインストルメンテーションと効率的なランタイムトライエージングは、ASan や Valgrind といった重量級プロファイルツールへの依存をどの程度低減できるか？
• RQ4 実世界のUAF再現およびパッチテストのシナリオにおいて、UAFuzzはAFLGo や Hawkeye といった最先端の指向型ファズァーと比較して、性能と有効性でどの程度優れているか？
• RQ5 既存のオープンソースソフトウェアおよび実際の脆弱性レポートから、大規模かつ現実世界のUAFバグのベンチマークを構築できるか？そのベンチマークは、UAF検出ツールの再現可能な評価を支援できるか？

主な発見

• UAFuzzは、AFLGo や Hawkeye よりも故障検出率が高く、実際のスタックトレースからのUAFバグ再現において100％の成功率を達成したのに対し、ベースラインツールでは低い成功率にとどまった。
• UAF固有のガイダンスと効率的なトライエージングメカニズムのおかげで、UAFバグの露出までの時間を最大50％短縮した。
• パッチテスト中に、Perl や GPAC、GNU Patch といった広く使われているソフトウェアで、30件の新しいUAF脆弱性（うち7件がCVE番号を取得）を発見した。
• UAFuzzの軽量なバイナリインストルメンテーションは、パフォーマンスオーバーヘッドをたった20〜30％に抑え、ASan や Valgrind の200％以上のオーバーヘッドと比べて顕著に低い。これにより、ファズィングパイプラインでの実用的利用が可能になった。
• 17の実際のオープンソースプロジェクトと30件の実際のUAFバグを含むUAFuzzベンチマークは、現時点で公開済みの最大規模のUAF固有ファズィングベンチマークであり、再現可能な評価を可能にしている。
• UAFuzzのトライエージングメカニズムは、高い正確性でUAFトリガーを生成する入力を正しく同定し、誤検出を低減するとともに、メモリサニタイザーを用いた後処理分析の必要性を排除した。