[論文レビュー] TeeRex: Discovery and Exploitation of Memory Corruption Vulnerabilities in SGX Enclaves

Tobias Cloosters, Michael Rodler+1 more|arXiv (Cornell University)|Jul 15, 2020

Security and Verification in Computing被引用数 16

ひとこと要約

TeeRex は、Intel SGX エンclaveにおけるメモリ破壊脆弱性を発見し、その利用を可能にする自動化された記号実行フレームワークであり、エンクレットバイナリコードの分析を通じて動作する。実世界のエンクレット、Intel や Baidu、WolfSSL、主要なバイオメトリクス指紋ソフトウェアを含むものにおいて、任意のメモリ書き込みや制御フロー乗っ取りといった深刻な欠陥を特定した。これは、ホストからエンクレットへの境界に広範な利用可能な脆弱性が存在することを示している。

ABSTRACT

Intel's Software Guard Extensions (SGX) introduced new instructions to switch the processor to enclave mode which protects it from introspection. While the enclave mode strongly protects the memory and the state of the processor, it cannot withstand memory corruption errors inside the enclave code. In this paper, we show that the attack surface of SGX enclaves provides new challenges for enclave developers as exploitable memory corruption vulnerabilities are easily introduced into enclave code. We develop TeeRex to automatically analyze enclave binary code for vulnerabilities introduced at the host-to-enclave boundary by means of symbolic execution. Our evaluation on public enclave binaries reveal that many of them suffer from memory corruption errors allowing an attacker to corrupt function pointers or perform arbitrary memory writes. As we will show, TeeRex features a specifically tailored framework for SGX enclaves that allows simple proof-of-concept exploit construction to assess the discovered vulnerabilities. Our findings reveal vulnerabilities in multiple enclaves, including enclaves developed by Intel, Baidu, and WolfSSL, as well as biometric fingerprint software deployed on popular laptop brands.

研究の動機と目的

• 実世界の SGX エンクレットにおけるメモリ破壊脆弱性の広がりと利用可能性を調査すること。特にホストからエンクレットへのインターフェースに注目する。
• SGX の独自の脅威モデルを考慮すると、エンクレットバイナリにおいて同様の脆弱性を検出する自動化ツールが不足している現状に対処すること。
• 脆弱性検出に加え、検証および是正のためのプロトタイプ攻撃の構築を可能にするフレームワークの開発を目的とする。
• SGX の強固な隔離保証にもかかわらず、レガシーコードや SGX SDK の一般的な使用パターンが、利用可能な脆弱性をもたらすことを明らかにすること。

提案手法

• TeeRex は、ホスト-エンクレット境界を越える制御フローやデータフローをモデル化することで、記号実行を用いてエンクレットバイナリコードを静的に分析する。
• 記号実行エンジンに、エンクレットのエントリ/エグジットメカニズム、メモリ隔離、特権分離といった SGX 固有の意味論を統合する。
• 任意のメモリ書き込み、制御フロー乗っ取り、ヌルポ인터の間接参照といった脆弱性を検出するためのカスタム検出器をフレームワークに統合する。
• グローバルな状態依存性をモデル化し、攻撃のための妥当な入力条件を生成することで、状態依存の攻撃構築を可能にする。
• 制約解決とタンテイキングを統合し、メモリ破壊プリミティブをトリガーする入力ベクトルを特定する。
• 詳細な脆弱性レポートを生成するとともに、攻撃可能な状態を引き起こす入力を自動合成することで、プロトタイプ攻撃の開発を支援する。

実験結果

リサーチクエスチョン

• RQ1 実世界の SGX エンクレットバイナリ、特に Intel SGX SDK を用いて開発されたものにおいて、どれほど広範にメモリ破壊脆弱性が存在するのか。
• RQ2 SGX エンクレットバイナリの独自の実行モデルと隔離意味論を考慮すると、記号実行がメモリ破壊脆弱性の検出に効果的に適応可能か。
• RQ3 一般的なプログラミングパターンやレガシーコードの移植手法が、ホスト-エンクレットインターフェースにどのように利用可能な脆弱性をもたらすか。
• RQ4 自動化フレームワークが脆弱性の検出に加え、発見された脆弱性のプロトタイプ攻撃の構築を支援できるか。
• RQ5 SGX エンクレットにおける最も一般的な脆弱性パターンは何か。また、それらは TEE のセキュリティ保証にどのように影響を及えるか。

主な発見

• TeeRex は、Intel、Baidu、WolfSSL、Synaptics や Goodix のバイオメトリクス指紋ソフトウェアを含む複数の公開 SGX エンクレットにおいて、利用可能なメモリ破壊脆弱性を発見した。
• 脆弱性の多くは、信頼できない入力が適切に検証されないホスト-エンクレット境界で導入されており、これにより任意のメモリ書き込みや制御フロー乗っ取りが可能になった。
• 多くの発見された欠陥は、後から取り入れられたレガシーコードや、入力検証機構を内蔵しない Intel SGX SDK の誤った使用に起因していた。
• すべての特定された脆弱性に対して、TeeRex はプロトタイプ攻撃を正常に構築し、それらの実用的利用可能性と、完全なエンクレット乗っ取りの可能性を確認した。
• 脆弱性の根本原因には、チェックのない関数ポインタ操作や、信頼できないソースからのデータポインタの不適切な取り扱いといった繰り返しパターンが明らかになった。
• これらの発見は、非公開で展開されているエンクレットにも同様の脆弱性が存在する可能性を示しており、SGX の展開実務における深刻なセキュリティギャップを浮き彫りにした。