[論文レビュー] Memory-Safety Challenge Considered Solved? An In-Depth Study with All Rust CVEs

Hui Xu, Zhuangbin Chen+3 more|arXiv (Cornell University)|Mar 6, 2020

Security and Verification in Computing参考文献 36被引用数 11

ひとこと要約

この論文は、186件の実世界のCVE（メモリ安全バグを含む）を分析することで、Rustがメモリ安全バグを防ぐ有効性を調査している。すべてのバグは不安全コードを必要としており、Rustのコアな約束を確認しているが、所有権、関数、ジェネリクスに関する安全APIにおける微妙な整合性の問題が、継続的な課題をもたらしている。これにより、より安全なコーディング慣習とツール拡張の推奨がなされている。

ABSTRACT

Rust is an emerging programing language that aims at preventing memory-safety bugs without sacrificing much efficiency. The claimed property is very attractive to developers, and many projects start using the language. However, can Rust achieve the memory-safety promise? This paper studies the question by surveying 186 real-world bug reports collected from several origins which contain all existing Rust CVEs (common vulnerability and exposures) of memory-safety issues by 2020-12-31. We manually analyze each bug and extract their culprit patterns. Our analysis result shows that Rust can keep its promise that all memory-safety bugs require unsafe code, and many memory-safety bugs in our dataset are mild soundness issues that only leave a possibility to write memory-safety bugs without unsafe code. Furthermore, we summarize three typical categories of memory-safety bugs, including automatic memory reclaim, unsound function, and unsound generic or trait. While automatic memory claim bugs are related to the side effect of Rust newly-adopted ownership-based resource management scheme, unsound function reveals the essential challenge of Rust development for avoiding unsound code, and unsound generic or trait intensifies the risk of introducing unsoundness. Based on these findings, we propose two promising directions towards improving the security of Rust development, including several best practices of using specific APIs and methods to detect particular bugs involving unsafe code. Our work intends to raise more discussions regarding the memory-safety issues of Rust and facilitate the maturity of the language.

研究の動機と目的

• Rustの設計者が主張するように、実世界のシステムにおいてRustが真にメモリ安全バグを防いでいるかどうかを評価すること。
• 不安全コード以外の要因によるメモリ安全バグの根本的要因を同定・分類すること。
• 安全APIが、メモリ安全違反を引き起こす可能性のある微妙な整合性の問題をどのように導入するかを理解すること。
• 開発者およびツール開発者によるRustのセキュリティ体制を強化するための実行可能な推奨事項を提供すること。
• 2020年末までに把握されたすべてのRustのメモリ安全バグを含む包括的なデータセットを分析することで、先行研究を拡張すること。

提案手法

• 2020年12月までに把握されたすべてのRustのメモリ安全バグを含む、Advisory-DB、Trophy Case、GitHubプロジェクトなど複数のソースからなる186件のメモリ安全CVEのデータセットを収集した。
• 各バグを手動で分析し、その影響（例：使用後フリー、バッファオーバーフロー）を分類し、背後にある根本的パターンを同定した。
• ハイブリッドアプローチを採用：標準的なメモリ安全カテゴリを用いたバグ影響のトップダウンラベリングと、類似した根本的パターンのボトムアップグループ化。
• バグを3つの主要なタイプに分類：自動メモリ解放、整合性のない関数、整合性のないジェネリックまたはトレイト使用。
• 安全APIの使用に関するベストプラクティスを提案し、特に所有権とドロップセマンティクスに関連する不安全コード内の不適切なパターンを検出できる静的解析の拡張を提案した。
• 先行研究（例：Qin et al., 2020）と照らし合わせ、とりわけジェネリックおよびトレイトベースの整合性のない挙動の分析において、独自の貢献を強調した。

実験結果

リサーチクエスチョン

• RQ1 実世界のRustにおけるメモリ安全バグは、どれほど不安全コードに依存しているのか。これはRustのメモリ安全の約束を裏付けるものか？
• RQ2 不特定な不安全ブロックを含まない場合に、Rustにおけるメモリ安全バグの支配的パターンと根本的要因は何か？
• RQ3 Rustの所有権と借用システム、特に自動ドロップとスタックアンワインディングは、意図しないメモリ安全問題をどのように引き起こすか？
• RQ4 開発者がRustで整合性のあるジェネリックまたはトレイトベースのコードを書く際に直面する主な課題は何か。これらはどのように整合性のない挙動を引き起こすか？
• RQ5 開発者およびツール開発者にとって、Rustプログラムのセキュリティを向上させるために実行可能な推奨事項は何か？

主な発見

• データセット内の186件のすべてのメモリ安全バグは、不安全コードを必要としており、安全コードが使用されている限りRustがそのメモリ安全の約束を的確に果たしていることを確認している。
• 多くのメモリ安全問題は深刻なエクスプロイトではなく、安全APIにおける軽微な整合性の問題である。例として、誤ったドロップ実装や整合性のないトレイト境界がある。
• Rustの所有権システムとドロップセマンティクスによって引き起こされる自動メモリ解放は、使用後フリー、ダブルフリー、無効ポインタ問題を引き起こし、特にスタックアンワインディングの状況で顕著である。
• 整合性のない関数は、Rust開発における核心的な課題である。不安全ブロックがなくても、誤った型レベルの推論によって未定義動作を引き起こす可能性がある。
• 整合性のないジェネリックまたはトレイトの使用は、増大する懸念事項であり、特にジェネリック境界やトレイト実装がメモリ安全を侵害する場合に、より複雑で繊細なバグの原因となる。
• 本研究では、整合性のない挙動を引き起こしやすい特定のAPIパターンやコーディング慣習を同定し、より安全なRust開発のための具体的な推奨事項を導き出している。