[논문 리뷰] Static Exploration of Taint-Style Vulnerabilities Found by Fuzzing

Bhargava Shastry, Federico Maggi외 3명|arXiv (Cornell University)|2017. 06. 01.

Web Application Security Vulnerabilities참고 문헌 12인용 수 3

한 줄 요약

이 논문은 퍼저가 발견한 크래시를 사용하여 취약성 템플릿을 생성하고, 정적 템플릿 매칭을 통해 코드베이스 전반에서 반복되는 타인트 스타일 취약성을 식별하는 하이브리드 정적 분석 기법을 제안한다. 미검증된 코드 커버리지 기반으로 매칭 결과를 순위화함으로써, 기존 테스트 허브가 없는 경우에도 이전에 발견되지 않은 결함을 식별할 수 있으며, 이는 오픈 vSwitch에서 기존 테스트 허브가 없는 모듈에서 새로운 잠재적 취약성을 발견한 데서 입증되었다.

ABSTRACT

Taint-style vulnerabilities comprise a majority of fuzzer discovered program faults. These vulnerabilities usually manifest as memory access violations caused by tainted program input. Although fuzzers have helped uncover a majority of taint-style vulnerabilities in software to date, they are limited by (i) extent of test coverage; and (ii) the availability of fuzzable test cases. Therefore, fuzzing alone cannot provide a high assurance that all taint-style vulnerabilities have been uncovered. In this paper, we use static template matching to find recurrences of fuzzer-discovered vulnerabilities. To compensate for the inherent incompleteness of template matching, we implement a simple yet effective match-ranking algorithm that uses test coverage data to focus attention on those matches that comprise untested code. We prototype our approach using the Clang/LLVM compiler toolchain and use it in conjunction with afl-fuzz, a modern coverage-guided fuzzer. Using a case study carried out on the Open vSwitch codebase, we show that our prototype uncovers corner cases in modules that lack a fuzzable test harness. Our work demonstrates that static analysis can effectively complement fuzz testing, and is a useful addition to the security assessment tool-set. Furthermore, our techniques hold promise for increasing the effectiveness of program analysis and testing, and serve as a building block for a hybrid vulnerability discovery framework.

연구 동기 및 목표

• 테스트 허브가 없는 코드에서 퍼저의 테스트 커버리지가 제한되어 있어 발생하는 한계를 해결하고, 전체 테스트 커버리지를 달성하는 데 기여한다.
• 타인트 스타일 결함의 반복 패턴을 자동으로 식별함으로써 취약성 감사에 필요한 수작업을 줄인다.
• 퍼저 커버리지가 낮거나 없는 코드 영역에 집중함으로써 정적 분석의 정밀도를 향상시키고, 거짓 경고를 최소화한다.
• 퍼저가 발견한 크래시 패턴을 재사용하여 템플릿으로 변환함으로써 개발 단계에서 이른 시기의 취약성 탐지를 가능하게 한다.

제안 방법

• 테스트 가능한 코드 세그먼트에서 커버리지 유도 퍼저(afl-fuzz)를 사용해 초기 프로그램 크래시를 탐지한다.
• 실행 슬라이싱 또는 AddressSanitizer를 통해 결함 위치를 국소화하고, 취약한 코드의 구문적 및 의미적 특징을 추출한다.
• 국소화된 결함 코드에서 자동으로 취약성 템플릿을 생성하며, 이는 구조적 및 의미적 특성을 모두 포함한다.
• 코드베이스 전반에서 정적 템플릿 매칭을 수행하여 동일한 취약성 패턴의 반복 발생을 식별한다.
• 퍼저 테스트 커버리지 데이터 기반으로 매칭 결과를 순위화하여, 아직 검증되지 않은 코드 경로를 포함하는 매칭을 우선순위로 지정한다.
• Clang/LLVM 툴체인에 파이프라인을 통합하여 정적 분석 및 인스트루멘테이션을 지원함으로써 대규모 C 코드베이스에 대한 확장 가능한 분석을 가능하게 한다.

실험 결과

연구 질문

• RQ1 퍼저의 테스트 커버리지가 제한되어 있어 발견하지 못한 타인트 스타일 취약성을 정적 분석이 효과적으로 식별할 수 있는가?
• RQ2 퍼저가 발견한 크래시를 신뢰할 수 있게 재사용 가능한 취약성 템플릿으로 변환할 수 있는가?
• RQ3 미검증된 코드 커버리지 기반으로 매칭 결과를 순위화하면, 단순한 패턴 매칭 대비 정밀도가 향상되는가?
• RQ4 비동기적 또는 상태 기반 API와 같은 테스트 허브가 없는 코드 모듈에서도 이 방법이 취약성을 탐지할 수 있는가?
• RQ5 이 방법이 동일 소프트웨어의 서로 다른 버전 간에 반복적인 취약성을 얼마나 잘 탐지할 수 있는가?

주요 결과

• 프로토타입은 테스트 허브가 없는 모듈에서 오픈 vSwitch에서 이전에 알려지지 않은 잠재적 타인트 스타일 취약성을 성공적으로 발견했다.
• 이전에 알려진 취약성에서 파생된 템플릿을 재사용하여 오픈 vSwitch의 후속 릴리스에서 반복적인 취약성을 탐지했다.
• 커버리지 기반 순위 매칭을 통한 템플릿 매칭은 미검증된 코드 영역에서의 매칭을 우선순위로 지정함으로써 노이즈를 크게 감소시켰다.
• 순위 매칭 메커니즘이 퍼저가 아직 실행하지 않은 코드 경로에 집중함으로써 높은 정밀도를 달성했으며, 거짓 경고가 극히 적었다.
• 결함 국소화 및 템플릿 생성을 포함한 전체 파이프라인은 실행 시간 오버헤드가 거의 없이 효율적으로 작동했다.
• 오픈소스화된 프로토타입은 독립적인 평가 및 기존 소프트웨어 보안 평가 파이프라인에의 통합을 가능하게 한다.