[논문 리뷰] An Analysis of Speculative Type Confusion Vulnerabilities in the Wild

Ofek Kirzner, Adam Morrison|arXiv (Cornell University)|2021. 06. 29.

Security and Verification in Computing인용 수 4

한 줄 요약

이 논문은 컴파일러 최적화로 인해 잘못된 데이터 유형을 사용하는 일시적 실행이 발생함으로써 Spectre v1 스타일의 사이드 채널 공격이 간접적으로 유도되는, Linux 커널 내의 사전 예측형 타입 혼동 취약성을 규명한다. 저자들은 이러한 취약성이 널리 퍼져 있으며 기존의 보호 조치로는 감지되지 않으며, 분기 예측 오류를 통해 악용 가능하다는 점을 입증한다. 이는 현재의 사전 예측 실행 공격에 대비한 소프트웨어 방어 체계에 심각한 격차가 있음을 드러낸다.

ABSTRACT

Spectre v1 attacks, which exploit conditional branch misprediction, are often identified with attacks that bypass array bounds checking to leak data from a victim's memory. Generally, however, Spectre v1 attacks can exploit any conditional branch misprediction that makes the victim execute code incorrectly. In this paper, we investigate speculative type confusion, a Spectre v1 attack vector in which branch mispredictions make the victim execute with variables holding values of the wrong type and thereby leak memory content. We observe that speculative type confusion can be inadvertently introduced by a compiler, making it extremely hard for programmers to reason about security and manually apply Spectre mitigations. We thus set out to determine the extent to which speculative type confusion affects the Linux kernel. Our analysis finds exploitable and potentially-exploitable arbitrary memory disclosure vulnerabilities. We also find many latent vulnerabilities, which could become exploitable due to innocuous system changes, such as coding style changes. Our results suggest that Spectre mitigations which rely on statically/manually identifying "bad" code patterns need to be rethought, and more comprehensive mitigations are needed.

연구 동기 및 목표

• 분기 예측 오류로 인해 잘못된 변수 유형을 사용하는 일시적 실행이 실제 시스템에서 메모리 누출을 악용 가능한 방식으로 이끌 수 있는지 조사하기.
• 특히 컴파일러 최적화로 인해 유도된 사전 예측형 타입 혼동 취약성이 Linux 커널 내에서 얼마나 널리 퍼져 있는지 규명하기.
• 기존 소프트웨어 보호 조치(예: 사전 예측 로드 하드닝, lfence 장벽 등)가 이 새로운 공격 벡터에 대해 얼마나 효과적인지 평가하기.
• 한정된 경계 검사 우회 패tern에만 초점을 맞춘 현재의 Spectre 보호 전략의 한계를 부각하기.

제안 방법

• Linux 커널 소스 및 컴파일된 바이너리의 정적 및 바이너리 분석을 통해 사전 예측형 타입 혼동 가젯을 탐지하기.
• GCC, Clang, ICC, MSVC로 컴iles된 C 코드에서 생성된 x86 어셈블리 코드를 역공학하여 사전 예측 실행 패턴을 식별하기.
• 공격자가 제어하는 값으로 분기 예측을 잘못 기르는 기법을 사용하여 악용 가능성을 테스트하기.
• 발견된 가젯에 대해 기존 컴파일러 및 OS 수준의 보호 조치(예: 사전 예측 로드 하드닝, lfence 장벽)의 효과성 평가하기.
• 다양한 컴파일러 버전과 최적화 수준에서의 컴파일러 동작을 분석하여 어떤 경우에 악용 가능한 사전 예측형 타입 혼동 패턴이 생성되는지 규명하기.
• 코드 구조와 향후 악용 가능성에 따라 취약성을 악용 가능, 잠재적 악용 가능, 잠재적(잠재적)으로 분류하기.

실험 결과

연구 질문

• RQ1 컴파일러 생성 코드로 인해 Linux 커널 내에 얼마나 광범위하게 사전 예측형 타입 혼동 취약성이 존재하는가?
• RQ2 분기 예측 오류를 통해 사전 예측형 타입 혼동이 악용되어 임의의 메모리 내용을 泄露할 수 있는가?
• RQ3 경계 검사 우회 패턴을 대상으로 설계된 기존 Spectre 보호 조치는 왜 사전 예측형 타입 혼동 공격에는 효과가 없는가?
• RQ4 다양한 컴파일러(GCC, Clang, ICC, MSVC)는 이러한 취약성을 어떻게 유도하는가?
• RQ5 실제로 사전 예측 로드 하드닝이나 사전 예측 장벽과 같은 종합적인 보호 조치의 성능 및 보안 간의 상충 관계는 어떠한가?

주요 결과

• 컴파일러 최적화로 인해 발생한 여러 악용 가능한 사전 예측형 타입 혼동 취약성이 Linux 커널 내에 존재하며, 특히 레지스터가 조건부 분기 사이에서 손상되는 코드 영역에서 뚜렷하게 나타난다.
• 테스트된 주요 컴파일러들인 GCC, Clang, ICC, MSVC는 특정 최적화 설정 하에서 x86 코드를 생성할 때 사전 예측형 타입 혼동 가젯을 생성할 수 있다.
• 기존의 Spectre 보호 조치, 예를 들어 MSVC의 /Qspectre나 GCC의 내장 함수 기반 보호 조치는 이러한 사례를 커버하지 못한다. 이는 경계 검사 우회 패턴 전용으로 설계되었기 때문이다.
• 사전 예측 로드 하드닝(SLH)과 lfence 장벽은 이러한 취약성을 완화할 수 있지만 상당한 성능 손실을 동반하므로, 더 확장 가능한 솔루션이 필요함을 시사한다.
• 많은 취약성은 잠재적이며, 단순한 코드 재정렬이나 리팩터링만으로도 유발될 수 있어 정적 분석으로는 감지하기 어려운 편이다.
• 본 연구는 현재 보호 전략의 근본적인 결함을 드러낸다: 특정 가젯 패턴을 수동으로 식별하거나 정적 탐지하는 데 의존하는 방식은 타입 혼동 벡터를 포괄하지 못한다.