[논문 리뷰] Towards Reliable and Scalable Linux Kernel CVE Attribution in Automated Static Firmware Analyses

René Helmke, Johannes vom Dorp|arXiv (Cornell University)|2022. 09. 12.

Software System Performance and Reliability인용 수 4

한 줄 요약

이 논문은 이진 이미지에서 추출한 커널 빌드 데이터를 버전 기반 매칭에 통합하여 라이트닝 커널 CVE 할당의 신뢰성을 햖थ하는 확장 가능하고 자동화된 방법을 제안한다. 정적 분석을 통해 펌웨어에서 커널 설정과 대상 아키텍처를 복원함으로써 커널 빌드를 재구성하고, CVE 기술서에 포함된 파일 수준 참조를 기반으로 CVE를 필터링함으로써, 127개의 라우터 펌웨어 이미지에 대한 사례 연구에서 잘못된 양성률을 68.37% 감소시켰다.

ABSTRACT

In vulnerability assessments, software component-based CVE attribution is a common method to identify possibly vulnerable systems at scale. However, such version-centric approaches yield high false-positive rates for binary distributed Linux kernels in firmware images. Not filtering included vulnerable components is a reason for unreliable matching, as heterogeneous hardware properties, modularity, and numerous development streams result in a plethora of vendor-customized builds. To make a step towards increased result reliability while retaining scalability of the analysis method, we enrich version-based CVE matching with kernel-specific build data from binary images using automated static firmware analysis. We open source an attribution pipeline that gathers kernel configuration and target architecture to dry build the present kernel version and filter CVEs based on affected file references in record descriptions. In a case study with 127 router firmware images, we show that in comparison to naive version matching, our approach identifies 68% of all version CVE matches as false-positives and reliably removes them from the result set. For 12% of all matches it provides additional evidence of issue applicability. For 19.4%, our approach does not improve reliability because required file references in CVEs are missing.

연구 동기 및 목표

• Linux 커널에 대한 간단한 버전 기반 CVE 매칭으로 인한 대규모 펌웨어 취약성 분석에서의 높은 잘못된 양성률을 해결하기 위해.
• 자동 정적 펌웨어 분석에서 확장성 손실 없이도 CVE 할당의 신뢰성을 향상시키기 위해.
• 버전 번호에만 의존하는 것이 아니라 실제 바이너리 커널에 포함된 컴포넌트 기반으로 CVE를 자동으로 필터링할 수 있도록 하기 위해.
• 보안 분석가들이 펌웨어 보안 평가에서 수작업 검증 작업을 줄일 수 있는 실용적이고 오픈소스 기반의 파ip라인을 제공하기 위해.

제안 방법

• 정적 분석을 사용하여 이진 펌웨어 이미지에서 커널 버전, 대상 명령어 세트 아키텍처(ISA), 커널 설정을 추출한다.
• 추출한 설정과 버전을 사용해 드라이빌드를 통해 커널 빌드 과정을 재구성하여 포함된 소스 파일을 추론한다.
• CVE 설명서에 명시적으로 참조된 파일이 재구성된 커널 빌드에 존재하지 않는지 여부에 따라 CVE를 필터링한다.
• 파이프라인을 FACT 펌웨어 분석 프레임워크에 통합하고 재현 가능성을 위해 오픈소스로 배포한다.
• NVD 및 CVE 데이터베이스 기록을 사용하여 영향을 받는 파일을 식별하고, 이를 재구성된 커널의 파일 집합과 비교한다.
• 성능 및 신뢰성 향상 평가를 위해 127개의 홈 라우터 펌웨어 이미지 코퍼스에 이 방법을 적용한다.

실험 결과

연구 질문

• RQ1 버전 기반 CVE 매칭가 펌웨어에서 컴포넌트 존재 여부 검사를 누락함으로써 취약성 노출을 과대평가하는 정도는 어느 정도인가?
• RQ2 이진 펌웨어에서 추출한 커널 빌드 메타데이터가 정적 분석에서 CVE 할당의 신뢰성 향상에 기여할 수 있는가?
• RQ3 CVE 설명서 기반의 파일 수준 필터링이 Linux 커널 취약성에 대한 잘못된 양성 매칭 감소에 얼마나 효과적인가?
• RQ4 CVE 기록에 파일 참조가 누락되어 있어 필터링이 불가능한 CVE 비율은 얼마이며, 이는 방법의 적용 가능성에 어떤 영향을 미치는가?
• RQ5 다양한 기기 빌드 환경을 가진 실제 펌웨어 분석 시나리오에서 제안된 파이프라인이 얼마나 확장 가능하고 실용적인가?

주요 결과

• 제안된 방법은 127개의 라우터 펌웨어 이미지 사례 연구에서 간단한 버전 기반 매칭 대비 잘못된 양성 CVE 매칭 수를 68.37% 감소시켰다.
• 모든 버전 기반 CVE 매칭의 68%에 대해, 이 방법은 취약한 컴포넌트가 커널 빌드에 포함되어 있지 않음을 검출하여 잘못된 양성으로 정확히 식별했다.
• 매칭의 12%에 대해, 파일 수준 일치 검사를 통해 추가적인 적용 가능성을 입증하여 할당에 대한 신뢰도를 높였다.
• 매칭의 19.4%에 대해, CVE 설명서에 파일 참조가 없어 필터링 기능이 제한되어 방법의 신뢰성 향상이 불가능했다.
• 이 방법은 기술적 요구사항을 충족하는 127개의 펌웨어 이미지 중 34.64%에 대해 확장 가능하고 적용 가능했다.
• 실제 커널 구성에 기반해 관련이 없는 CVE를 체계적으로 제거함으로써 보안 분석가들의 수작업 검증 작업을 크게 줄였다.