[論文レビュー] SyzScope: Revealing High-Risk Security Impacts of Fuzzer-Exposed Bugs in Linux kernel

Xiaochen Zou, Guoren Li+3 more|arXiv (Cornell University)|Nov 11, 2021

Advanced Malware Detection Techniques参考文献 21被引用数 12

ひとこと要約

SyzScope は、Linux カーネルのファズァーが報告する seemingly 低リスクのバグに隠された高リスクのセキュリティインパクト（任意のコード実行やメモリ破壊など）を自動で特定するシステムである。静的解析、記号実行、ファジングを組み合わせることで、syzbot に報告された 1,000 件以上の低リスクレポートのうち 183 件の以前に発見されていなかった高リスクバグを同定し、脆弱性のスクリーニングとパッチ優先順位の向上を著しく改善した。

ABSTRACT

Fuzzing has become one of the most effective bug finding approach for software. In recent years, 24*7 continuous fuzzing platforms have emerged to test critical pieces of software, e.g., Linux kernel. Though capable of discovering many bugs and providing reproducers (e.g., proof-of-concepts), a major problem is that they neglect a critical function that should have been built-in, i.e., evaluation of a bug's security impact. It is well-known that the lack of understanding of security impact can lead to delayed bug fixes as well as patch propagation. In this paper, we develop SyzScope, a system that can automatically uncover new "high-risk" impacts given a bug with seemingly "low-risk" impacts. From analyzing over a thousand low-risk bugs on syzbot, SyzScope successfully determined that 183 low-risk bugs (more than 15%) in fact contain high-risk impacts, e.g., control flow hijack and arbitrary memory write, some of which still do not have patches available yet.

研究の動機と目的

• syzbot のような継続的ファジングプラットフォームがバグを報告するが、自動的なセキュリティインパクト分析を欠いているという深刻なギャップを解消すること。
• たとえばアサーション違反や読み取り専用アクセスといった、明らかに低リスクと見なされるバグが、制御フローハイジャックや任意のメモリ書き込みといった高リスクのエクスプロイトに繋がる可能性があるかどうかを特定すること。
• 初期のバグレポートからは明らかでないが、実際に利用可能なプリミティブ（例：書き込みプリミティブ）を自動で検出することで、パッチの優先順位付けと下流への展開を改善すること。
• 既存のエクスプロイト生成およびパッチ分析ツールと連携可能な、スケーラブルで自動化されたソリューションを提供すること。

提案手法

• SyzScope はファズァーが生成した再現コードと関連するバグレポートを入力とし、初期クラッシュを超えるより深いセキュリティインパクトを検出するためのコードパスを分析する。
• 静的解析により潜在的なメモリアクセスパターンを特定し、記号実行により高リスク行動に繋がる可能性のある代替実行パスを探索する。
• システムは制御フローやデータ依存関係を探索する記号実行エンジンを採用し、関数ポインタの間接参照や書き込みプリミティブなどの危険な操作を検出する。
• 高精度モードでは、新たに同定された高リスクインパクトが実際にトリガ可能で、実用的にエクスプロイト可能かどうかを検証するためにファジングコンponentを統合する。
• リスク分類は、エクスプロイタビリティに基づいて行われる（例：書き込み vs. 読み取りプリミティブ、関数ポインタの間接参照）—明確に定義されたリスク分類体系を用いる。
• パイプラインは syzbot のようなプラットフォームに統合可能であり、新規に報告されたバグに対する継続的分析を可能にする。

実験結果

リサーチクエスチョン

• RQ1 ファズァーが報告する seemingly 低リスクの Linux カーネルバグが、任意のコード実行やメモリ破壊といった高リスクのセキュリティインパクトに繋がる可能性があるか？
• RQ2 syzbot のような現在のファズァープラットフォームは、インパクトレポートが不完全であるがゆえに、報告されたバグの真のエクスプロイタビリティをどの程度漏れさせているか？
• RQ3 静的解析、記号実行、ファジングを組み合わせた自動解析は、実世界のカーネル脆弱性において隠れた高リスクインパクトを効果的に特定できるか？
• RQ4 バグのリスク分類（例：書き込み vs. 読み取りプリミティブ）は、実際のエクスプロイタビリティとパッチ適用遅延にどの程度相関するか？
• RQ5 SyzScope のアプローチは、バグ修正の優先順位付けを改善し、Android のような下流システムへのパッチ展開を加速させることができるか？

主な発見

• SyzScope は syzbot に報告された 1,000 件以上の低リスクバグのうち 183 件の高リスクセキュリティインパクトを同定し、分析対象の 15% を超える。
• これらの高リスクインパクトの多くは、使用後フリー（use-after-free）、境界外メモリ書き込み（out-of-bound memory writes）、関数ポインタの間接参照といった、特権昇格や任意のコード実行を可能にする重要なプリミティブを含んでいた。
• システムは、アサーション違反や読み取り専用アクセスといった、当初は無害と見なされたバグが、カーネルの完全な制御を可能にするエクスプロイトに利用可能であることを明らかにした。
• 高リスクバグの平均修正時間は低リスクバグよりも著しく短く、インパクト認識が迅速な解決を促進していることが示された。
• OOB 書き込みのような高リスクバグのパッチは、WARNING レベルのバグよりも平均して 24 日早く Ubuntu Bionic に展開された。
• SyzScope の結果は、自動インパクト分析が現在のファズァープラットフォームが見逃しているエクスプロイタブルな脆弱性を同定できることを示しており、パッチ優先順位付けとセキュリティ強化における実世界の影響を持つ。