[논문 리뷰] Technical Information on Vulnerabilities of Hypercall Handlers

Aleksandar Milenkoski, Marco Vieira외 3명|arXiv (Cornell University)|2014. 10. 05.

Religion and Sociopolitical Dynamics in Nigeria참고 문헌 2인용 수 4

한 줄 요약

이 논문은 Xen 하이퍼바이저의 8개의 공개된 하이퍼콜 취약성에 대한 심층적인 기술 분석을 제공하며, 패치를 역공학적으로 분석하여 근본 원인, 악용 방법, 악용 후 상태를 폭 드러낸다. 비정상적인 입력 처리 오류가 메모리_op, gnttab_op, mmuext_op 등의 핸들러에서 발생하여 메모리 손상 또는 서비스 거부를 유도할 수 있음을 드러내며, 주요 발견사항으로는 확인되지 않은 MFN 값과 부적절한 오류 처리로 인해 심각한 권한 상승 또는 하이퍼바이저 충돌이 발생할 수 있음을 규명한다.

ABSTRACT

Modern virtualized service infrastructures expose attack vectors that enable attacks of high severity, such as attacks targeting hypervisors. A malicious user of a guest VM (virtual machine) may execute an attack against the underlying hypervisor via hypercalls, which are software traps from a kernel of a fully or partially paravirtualized guest VM to the hypervisor. The exploitation of a vulnerability of a hypercall handler may have severe consequences such as altering hypervisor's memory, which may result in the execution of malicious code with hypervisor privilege. Despite the importance of vulnerabilities of hypercall handlers, there is not much publicly available information on them. This significantly hinders advances towards securing hypercall interfaces. In this work, we provide in-depth technical information on publicly disclosed vulnerabilities of hypercall handlers. Our vulnerability analysis is based on reverse engineering the released patches fixing the considered vulnerabilities. For each analyzed vulnerability, we provide background information essential for understanding the vulnerability, and information on the vulnerable hypercall handler and the error causing the vulnerability. We also show how the vulnerability can be triggered and discuss the state of the targeted hypervisor after the vulnerability has been triggered.

연구 동기 및 목표

• 가상화 환경에서 하이퍼콜 취약성에 대한 상세한 기술 정보 부족 문제를 해결하기 위해.
• 8개의 Xen 하이퍼콜 취약성에 대한 공개된 패치를 역공학적으로 분석하여 그 근본 원인을 이해하기 위해.
• 각 취약성에 대한 실질적 악용 기법을 시연하기 위해(트리거 조건 및 악용 후 시스템 상태 포함).
• 핵심 하이퍼콜 핸들러의 오류 처리 결함을 분석하여 하이퍼콜 공격 표면을 특성화하기 위해.
• 세부적인 취약성 분석을 통해 하이퍼콜 인터페이스 보안을 위한 실질적인 통찰을 제공하기 위해.

제안 방법

• 각 취약성을 수정하기 위해 공개된 공식 패치를 역공학적으로 분석하여 코드 수준의 오류와 수정 사항을 정확히 규명하였다.
• CVE 보고서, 보안 경고 및 하이퍼바이저 소스 코드를 분석하여 각 취약한 하이퍼콜 핸들러의 워크플로우 및 입력/출력 동작을 재구성하였다.
• 제어된 테스트 환경에서 각 취약성의 트리거 조건을 검증하기 위해 개념 증명(PoC) 악용 코드를 개발하였다.
• 악용 전후의 하이퍼바이저 메모리 레이아웃과 상태 전이를 매핑하여 영향을 평가하였다.
• 메모리_op, gnttab_op, set_debugreg, physdev_op, mmuext_op의 다섯 가지 핵심 하이퍼콜 핸들러에 집중하였으며, 각각 다른 오류 패tern을 보였다.
• 정적 및 동적 분석을 활용하여 하이퍼콜 처리 중에 누락된 입력 검증, 부적절한 오류 코드 처리, 버퍼 오버리드를 식별하였다.

실험 결과

연구 질문

• RQ1 Xen 하이퍼바이저의 하이퍼콜 취약성의 근본 원인은 무엇이며, 특히 메모리 및 I/O 관리 핸들러에서 어떤 문제가 발생하는가?
• RQ2 범위를 벗어난 MFN나 검증되지 않은 오류 코드와 같은 비정상적인 입력 매개변수는 어떻게 하이퍼바이저 메모리 손상에 이용될 수 있는가?
• RQ3 각 취약성을 트리거한 후 하이퍼바이저의 관찰 가능한 악용 후 상태는 무엇인가?
• RQ4 하이퍼콜 핸들러의 잘못된 오류 처리 메커니즘은 어떻게 권한 상승 또는 서비스 거부를 초래하는가?
• RQ5 하이퍼콜 인터페이스의 탐지 및 강화를 향상시키기 위해 일반화할 수 있는 악용 공통 패턴은 무엇인가?

주요 결과

• memory_op의 CVE-2012-3496는 잘못된 MFN로 인해 버퍼 오버리드가 발생하고, 하이퍼바이저에서 메모리 손상의 가능성이 있다.
• gnttab_op의 CVE-2012-5513은 악성 게스트가 해제된 게스트 테이블 엔트리를 재사용하여 사용 후 할당 해제 상태의 메모리 접근 조건을 유도하여 하이퍼바이저 메모리 손상이 발생할 수 있다.
• gnttab_op의 CVE-2012-4539는 잘못된 오류 코드 처리로 음수 오류 코드가 인덱스로 사용되어 범위를 초월한 메모리 접근이 발생하였다.
• mmuext_op의 CVE-2012-5525는 get_page_from_gfn에서 확인되지 않은 MFN 입력으로 인해 버퍼 오버리드가 발생하고, 잘못된 MFN이 제공될 경우 하이퍼바이저 충돌이 발생하였다.
• 모든 테스트 케이스에서 입력 검증이 적절히 이루어지지 않은 상태에서 악용 후 하이퍼바이저는 충돌하거나 손상된 상태로 전이되었으며, 복구 조치가 없으면 복구되지 않았다.
• CVE-2012-5525의 패치는 잘못된 MFN 사용을 방지하기 위해 mfn_valid 검사를 도입하였으며, 이는 입력 검증이 하이퍼콜 보안에 핵심적임을 입증한다.