[论文解读] SyzScope: Revealing High-Risk Security Impacts of Fuzzer-Exposed Bugs in Linux kernel

Xiaochen Zou, Guoren Li+3 more|arXiv (Cornell University)|Nov 11, 2021

Advanced Malware Detection Techniques参考文献 21被引用 12

一句话总结

SyzScope 是一个系统，可自动发现由 Linux 内核模糊测试工具报告的看似低风险的错误中隐藏的高风险安全影响，例如任意代码执行和内存损坏。通过结合静态分析、符号执行和模糊测试，它在 syzbot 上超过 1,000 个低风险报告中发现了 183 个此前未被发现的高风险漏洞，显著提升了漏洞分类与补丁优先级排序的效率。

ABSTRACT

Fuzzing has become one of the most effective bug finding approach for software. In recent years, 24*7 continuous fuzzing platforms have emerged to test critical pieces of software, e.g., Linux kernel. Though capable of discovering many bugs and providing reproducers (e.g., proof-of-concepts), a major problem is that they neglect a critical function that should have been built-in, i.e., evaluation of a bug's security impact. It is well-known that the lack of understanding of security impact can lead to delayed bug fixes as well as patch propagation. In this paper, we develop SyzScope, a system that can automatically uncover new "high-risk" impacts given a bug with seemingly "low-risk" impacts. From analyzing over a thousand low-risk bugs on syzbot, SyzScope successfully determined that 183 low-risk bugs (more than 15%) in fact contain high-risk impacts, e.g., control flow hijack and arbitrary memory write, some of which still do not have patches available yet.

研究动机与目标

• 为解决像 syzbot 这类持续模糊测试平台存在的关键缺陷，这些平台报告漏洞但缺乏自动化的安全影响分析。
• 识别看似低风险的漏洞（例如断言失败或只读访问）是否实际上可导致高风险利用，如控制流劫持或任意内存写入。
• 通过自动检测初始漏洞报告中不明显的可利用原 primitive，改进补丁优先级排序和下游传播。
• 提供一种可扩展的自动化解决方案，补充现有的漏洞利用生成和补丁分析工具，提升内核安全防护能力。

提出的方法

• SyzScope 接收模糊测试工具生成的可复现代码和对应的漏洞报告作为输入，分析代码路径以检测超出初始崩溃的更深层次安全影响。
• 它使用静态分析识别潜在的内存访问模式，并通过符号执行探索可能导致高风险行为的其他执行路径。
• 该系统采用符号执行引擎探索控制流和数据依赖关系，检测危险操作，如函数指针解引用或写入原 primitive。
• 在高精度模式下，SyzScope 集成模糊测试组件，验证新发现的高风险影响是否可在实际中被触发和利用。
• 它基于可利用性区分高风险与低风险影响，例如写入 vs. 读取原 primitive、函数指针解引用等，采用预定义的风险分类体系。
• 该处理流程设计用于集成到 syzbot 等平台中，实现对新报告漏洞的持续分析。

实验结果

研究问题

• RQ1 由模糊测试工具报告的看似低风险的 Linux 内核漏洞，是否实际上可导致任意代码执行或内存损坏等高风险安全影响？
• RQ2 当前模糊测试平台（如 syzbot）在多大程度上因影响报告不完整而未能揭示报告漏洞的真实可利用性？
• RQ3 结合静态分析、符号执行和模糊测试的自动化分析，能否有效发现真实世界内核漏洞中隐藏的高风险影响？
• RQ4 漏洞的风险分类（例如写入 vs. 读取原 primitive）与真实世界的可利用性及补丁延迟之间是否存在相关性？
• RQ5 SyzScope 的方法能否提升漏洞修复的优先级排序，并加速补丁向 Android 等下游系统传播？

主要发现

• SyzScope 在 syzbot 上报告的 1,000 多个低风险漏洞中识别出 183 个高风险安全影响，占分析问题的 15% 以上。
• 其中许多高风险影响涉及关键原 primitive，如使用后释放（use-after-free）、越界内存写入和函数指针解引用，可导致权限提升或任意代码执行。
• 该系统揭示，最初报告为无害的漏洞（如断言失败或只读访问）实际上可被利用以完全控制内核。
• 高风险漏洞的平均修复时间显著短于低风险漏洞，表明安全影响认知可推动更快修复。
• 研究发现，像越界写入这样的高风险漏洞补丁，平均比 WARNING 级别漏洞在 Ubuntu Bionic 中传播快 24 天。
• SyzScope 的结果表明，自动化影响分析可发现当前模糊测试平台遗漏的可利用漏洞，对补丁优先级排序和安全加固具有真实世界影响。