[論文レビュー] Technical Information on Vulnerabilities of Hypercall Handlers

Aleksandar Milenkoski, Marco Vieira+3 more|arXiv (Cornell University)|Oct 5, 2014

Religion and Sociopolitical Dynamics in Nigeria参考文献 2被引用数 4

ひとこと要約

本論文は、Xenハイパーバイザーにおける8つの公開済みハイパーキャル脆弱性について、根本原因、悪用手法、悪用後状態を明らかにするため、パッチの逆解析を含む包括的な技術的分析を提供している。不正な入力処理が memory_op、gnttab_op、mmuext_op などのハンドラで発生し、メモリ破壊やサービス拒否攻撃を引き起こすことが明らかになった。主な発見では、検証されていないMFN値と不適切なエラーハンドリングが、深刻な特権昇格またはハイパーバイザーのクラッシュを引き起こす要因となっている。

ABSTRACT

Modern virtualized service infrastructures expose attack vectors that enable attacks of high severity, such as attacks targeting hypervisors. A malicious user of a guest VM (virtual machine) may execute an attack against the underlying hypervisor via hypercalls, which are software traps from a kernel of a fully or partially paravirtualized guest VM to the hypervisor. The exploitation of a vulnerability of a hypercall handler may have severe consequences such as altering hypervisor's memory, which may result in the execution of malicious code with hypervisor privilege. Despite the importance of vulnerabilities of hypercall handlers, there is not much publicly available information on them. This significantly hinders advances towards securing hypercall interfaces. In this work, we provide in-depth technical information on publicly disclosed vulnerabilities of hypercall handlers. Our vulnerability analysis is based on reverse engineering the released patches fixing the considered vulnerabilities. For each analyzed vulnerability, we provide background information essential for understanding the vulnerability, and information on the vulnerable hypercall handler and the error causing the vulnerability. We also show how the vulnerability can be triggered and discuss the state of the targeted hypervisor after the vulnerability has been triggered.

研究の動機と目的

• 仮想化環境におけるハイパーキャル脆弱性に関する詳細な技術的情報の不足に対処すること。
• 8つのXenハイパーキャル脆弱性の公開パッチを逆解析し、その根本原因を理解すること。
• 各脆弱性の実用的悪用手法（発動条件および攻撃後システム状態を含む）を示すこと。
• エラーハンドリングの欠陥を分析することで、ハイパーキャルの攻撃表面を特定すること。
• 詳細な脆弱性分析を通じて、ハイパーキャルインターフェースのセキュリティ強化に役立つ実用的知見を提供すること。

提案手法

• 各脆弱性を修正するために公開された公式パッチを逆解析し、正確なコードレベルでの誤りと修正を同定した。
• CVEレポート、セキュリティアドバイアリ、ハイパーバイザーのソースコードを分析し、各脆弱なハイパーキャルハンドラのワークフローおよび入出力動作を再構築した。
• 制御されたテスト環境で各脆弱性の発動条件を検証するため、プロトタイプ悪用コードを開発した。
• 悪用前後におけるハイパーバイザーのメモリレイアウトおよび状態遷移をマッピングし、影響を評価した。
• 5つの主要なハイパーキャルハンドラに焦点を当てた：memory_op、gnttab_op、set_debugreg、physdev_op、mmuext_op。各ハンドラには異なるエラーパattersが存在した。
• 静的および動的解析を用いて、入力検証の欠如、不適切なエラーコード処理、バッファオーバーリードをハイパーキャル処理で同定した。

実験結果

リサーチクエスチョン

• RQ1 Xenハイパーバイザーにおけるハイパーキャル脆弱性の根本原因は何か。特にメモリおよびI/O管理ハンドラにおいては？
• RQ2 境界外のMFNや検証されていないエラーコードといった不正な入力パラメータが、どのようにハイパーバイザーのメモリ破壊を引き起こすか？
• RQ3 各脆弱性を発動させた後、ハイパーバイザーで観察可能な悪用後状態は何か？
• RQ4 ハイパーキャルハンドラにおける不適切なエラーハンドリング機構が、特権昇格またはサービス拒否攻撃を引き起こすメカニズムは？
• RQ5 ハイパーキャルインターフェースの検出および強化を向上させるために一般化可能な、脆弱性悪用の共通パターンは何か？

主な発見

• memory_opにおけるCVE-2012-3496は、不正なMFNによって引き起こされ、バッファオーバーリードを引き起こし、ハイパーバイザーのメモリ破壊の可能性が生じた。
• gnttab_opにおけるCVE-2012-5513は、悪意あるゲストが解放済みのグラントテーブルエントリを再利用することで、使用後フリーの状態を引き起こし、ハイパーバイザーのメモリ破壊を引き起こした。
• gnttab_opにおけるCVE-2012-4539は、誤ったエラーコード処理に起因し、負のエラーコードがインデックスとして使用されたことで、境界外メモリアクセスが発生した。
• mmuext_opにおけるCVE-2012-5525は、get_page_from_gfnでのMFN入力の検証が行われていなかったことが原因で、不正なMFNが提供された場合にバッファオーバーリードが発生し、ハイパーバイザーがクラッシュした。
• すべてのテスト事例において、悪用後、ハイパーバイザーはクラッシュまたは破損状態に陥り、適切な入力検証がなければ回復は不可能であった。
• CVE-2012-5525のパッチは、mfn_validチェックを導入することで、不正なMFNの使用を防止した。これにより、入力検証がハイパーキャルセキュリティにおいて極めて重要であることが示された。