[論文レビュー] Static Exploration of Taint-Style Vulnerabilities Found by Fuzzing

Bhargava Shastry, Federico Maggi+3 more|arXiv (Cornell University)|Jun 1, 2017

Web Application Security Vulnerabilities参考文献 12被引用数 3

ひとこと要約

本稿では、ファズャーが発見したクラッシュを用いて脆弱性テンプレートを生成し、静的テンプレートマッチングを適用することで、コードベース全体にわたる繰り返し発生するtaintスタイルの脆弱性を特定するハイブリッド静的解析手法を提案する。未テストのコードカバレッジに基づいてマッチングをランク付けすることで、従来のテストハーネスが存在しない状況でも、未発見の欠陥を同定する。Open vSwitchにおいて、テストハーネスが存在しないモジュールで新たな潜在的脆弱性を発見したことが実証された。

ABSTRACT

Taint-style vulnerabilities comprise a majority of fuzzer discovered program faults. These vulnerabilities usually manifest as memory access violations caused by tainted program input. Although fuzzers have helped uncover a majority of taint-style vulnerabilities in software to date, they are limited by (i) extent of test coverage; and (ii) the availability of fuzzable test cases. Therefore, fuzzing alone cannot provide a high assurance that all taint-style vulnerabilities have been uncovered. In this paper, we use static template matching to find recurrences of fuzzer-discovered vulnerabilities. To compensate for the inherent incompleteness of template matching, we implement a simple yet effective match-ranking algorithm that uses test coverage data to focus attention on those matches that comprise untested code. We prototype our approach using the Clang/LLVM compiler toolchain and use it in conjunction with afl-fuzz, a modern coverage-guided fuzzer. Using a case study carried out on the Open vSwitch codebase, we show that our prototype uncovers corner cases in modules that lack a fuzzable test harness. Our work demonstrates that static analysis can effectively complement fuzz testing, and is a useful addition to the security assessment tool-set. Furthermore, our techniques hold promise for increasing the effectiveness of program analysis and testing, and serve as a building block for a hybrid vulnerability discovery framework.

研究の動機と目的

• テストハーネスが存在しないコードにおける脆弱性の発見と、完全なテストカバレッジを達成するためのファジングの限界を是正すること。
• taintスタイルの欠陥の繰り返しパターンを自動的に同定することで、脆弱性監査における人的作業を削減すること。
• ファージャーのカバレッジが低いまたはゼロのコード領域に注目することで、静的解析の精度を向上させ、誤検出を最小限に抑えること。
• ファージャーで発見されたクラッシュパターンを再利用して、広範なコードベース解析用のテンプレートとして活用することで、開発段階での脆弱性の早期検出を可能にすること。

提案手法

• カバレッジガイドドファザー（afl-fuzz）を用いて、テスト可能なコードセグメント内で初期のプログラムクラッシュを発見する。
• 障害局所化（AddressSanitizer や実行スライシングを用いて）を実行し、クラッシュの根本原因を特定するとともに、脆弱なコードの構文的・意味的特徴を抽出する。
• 局所化された不具合のあるコードから自動的に脆弱性テンプレートを生成し、構造的および意味的特性を符号化する。
• コードベース全体に対して静的テンプレートマッチングを実行し、同じ脆弱性パターンの繰り返し発生箇所を同定する。
• ファージャーのテストカバレッジデータに基づいてマッチング結果をランク付けし、未テストのコードパスを含むマッチングを優先順位とする。
• Clang/LLVMツールチェインにパイプラインを統合し、静的解析およびインストルメンテーションを可能にすることで、大規模なCコードベースのスケーラブルな解析を実現する。

実験結果

リサーチクエスチョン

• RQ1 ファージャーによるテストカバレッジの制限により見逃されがちなtaintスタイルの脆弱性を、静的解析が効果的に同定できるか？
• RQ2 ファージャーで発見されたクラッシュを、再利用可能な脆弱性テンプレートに信頼性高く変換できるか？
• RQ3 未テストのコードカバレッジに基づいてマッチングをランク付けすることで、単純なパターンマッチングに比べ、脆弱性同定の精度が向上するか？
• RQ4 非同期的またはステートフルなAPIのようなテストハーネスが存在しないコードモジュールにおいても、このアプローチは脆弱性を検出可能か？
• RQ5 同じソフトウェアの異なるバージョン間で、この手法がどの程度、繰り返し発生する脆弱性を検出できるか？

主な発見

• プロトタイプは、テストハーネスが存在しないモジュールにおいて、Open vSwitchに以前未知の潜在的taintスタイル脆弱性を発見した。
• 古い既知の脆弱性から導出されたテンプレートを再利用することで、Open vSwitchの後続リリースで繰り返し発生する脆弱性を検出できた。
• カバレッジに基づくランク付けを施したテンプレートマッチングにより、未テストのコード領域におけるマッチングを優先することで、ノイズが著しく低減された。
• ランク付け機構が、ファージャーがまだ実行していないコードパスに注目したため、同定精度が高く、誤検出が最小限に抑えられた。
• 障害局所化およびテンプレート生成を含むパイプライン全体の実行は、無視できるほどのランタイムオーヘッドで効率的に実行された。
• オープンソース化されたプロトタイプにより、独立した評価および既存のソフトウェアセキュリティ評価パイプラインへの統合が可能になった。