[論文レビュー] Towards Reliable and Scalable Linux Kernel CVE Attribution in Automated Static Firmware Analyses

René Helmke, Johannes vom Dorp|arXiv (Cornell University)|Sep 12, 2022

Software System Performance and Reliability被引用数 4

ひとこと要約

本論文は、バイナリイメージから抽出したカーネルビルドデータをバージョンベースの照合に統合することで、ファームウェア解析におけるLinuxカーネルCVEアトリビューションの信頼性を向上させるスケーラブルで自動化された手法を提案する。静的解析によりファームウェアからカーネル構成およびターゲットアーキテクチャを回復することで、カーネルビルドを再構築し、CVE記述に含まれるファイルレベルの参照に基づいてCVEをフィルタリングする。127台のルーターファームウェアイメージを対象としたケーススタディにおいて、誤検出率を68.37%低減した。

ABSTRACT

In vulnerability assessments, software component-based CVE attribution is a common method to identify possibly vulnerable systems at scale. However, such version-centric approaches yield high false-positive rates for binary distributed Linux kernels in firmware images. Not filtering included vulnerable components is a reason for unreliable matching, as heterogeneous hardware properties, modularity, and numerous development streams result in a plethora of vendor-customized builds. To make a step towards increased result reliability while retaining scalability of the analysis method, we enrich version-based CVE matching with kernel-specific build data from binary images using automated static firmware analysis. We open source an attribution pipeline that gathers kernel configuration and target architecture to dry build the present kernel version and filter CVEs based on affected file references in record descriptions. In a case study with 127 router firmware images, we show that in comparison to naive version matching, our approach identifies 68% of all version CVE matches as false-positives and reliably removes them from the result set. For 12% of all matches it provides additional evidence of issue applicability. For 19.4%, our approach does not improve reliability because required file references in CVEs are missing.

研究の動機と目的

• Linuxカーネルの脆弱性抽出において、単純なバージョンベースのCVE照合による高い誤検出率を是正すること。
• 自動静的ファームウェア解析におけるスケーラビリティを損なわず、CVEアトリビューションの信頼性を向上させること。
• バージョン番号に依存するのではなく、バイナリカーネルに実際に入っているコンponentに基づいてCVEを自動的にフィルタリングすること。
• セキュリティアナリストがファームウェアセキュリティ評価における手作業の検証作業を削減できる実用的でオープンソースのパイプラインを提供すること。

提案手法

• 静的解析を用いてバイナリファームウェアイメージからカーネルバージョン、ターゲット命令セットアーキテクチャ（ISA）、およびカーネル構成を抽出する。
• 抽出した構成とバージョンを用いてドライビルドを実行することで、カーネルビルドプロセスを再構築し、含まれるソースファイルを推定する。
• CVE記述に明示的に参照されているファイルが再構築されたカーネルビルドに存在しない場合に、CVEをフィルタリングする。
• パイプラインをFACTファームウェア解析フレームワークに統合し、再現可能性を確保するためにオープンソースとして公開する。
• NVDおよびCVEデータベースレコードを用いて影響を受けるファイルを特定し、再構築されたカーネルのファイルセットと照合する。
• 127台のホームルーターファームウェアイメージのコロナを対象に、性能および信頼性の向上を評価する。

実験結果

リサーチクエスチョン

• RQ1 バージョンベースのCVE照合が、コンポonentの存在チェックを欠いているために、ファームウェアにおける脆弱性の暴露度をどの程度過大評価しているのか。
• RQ2 バイナリファームウェアから抽出したカーネルビルドメタデータは、静的解析におけるCVEアトリビューションの信頼性を向上させることができるか。
• RQ3 CVE記述に基づくファイルレベルのフィルタリングは、Linuxカーネル脆弱性の誤検出マッチをどの程度低減できるか。
• RQ4 CVEレコードにファイル参照が欠落しているため、フィルタリングが不可能なCVEの割合はどれくらいで、この要因が本手法の適用性にどのように影響するか。
• RQ5 本手法のパイプラインは、多様なデバイスビルドを含む実世界のファームウェア解析シナリオにおいて、どの程度スケーラブルかつ実用的か。

主な発見

• 本手法は、127台のルーターファームウェアイメージを対象としたケーススタディにおいて、単純なバージョンベースの照合と比較して誤検出CVEマッチ数を68.37%低減した。
• 全バージョンベースのCVEマッチのうち68%については、本手法が脆弱なコンポーネントがカーネルビルドに含まれていないことを検出することで、誤検出であることを正しく同定した。
• 12%のマッチについては、ファイルレベルの一貫性チェックを通じて追加の適用可能性の証拠を提供し、アトリビューションの信頼性を高めた。
• 19.4%のマッチについては、CVE記述にファイル参照が欠落しているため、本手法は信頼性の向上が不可能であり、フィルタリング能力が制限された。
• 本手法はスケーラブルであり、分析された127台のファームウェアのうち34.64%は、カーネル構成抽出およびビルド再構築の技術的要件を満たしており、適用可能であった。
• 本手法は、実際のカーネル構成に基づいて非適用CVEを体系的に除外するため、セキュリティアナリストの手作業の検証作業を顕著に削減した。