[论文解读] An Analysis of Speculative Type Confusion Vulnerabilities in the Wild

Ofek Kirzner, Adam Morrison|arXiv (Cornell University)|Jun 29, 2021

Security and Verification in Computing被引用 4

一句话总结

本文識別出 Linux 內核中由編譯器優化引入的猜測型型別混淆漏洞，這些漏洞會因錯誤的資料類型導致暫存執行，進而間接引發類似 Spectre v1 的側通道攻擊。作者證明此類漏洞普遍存在，且未被現有防護機制檢測到，並可透過分支預測錯誤預測來利用，揭示當前軟體防護機制在應對猜測執行攻擊方面存在關鍵缺口。

ABSTRACT

Spectre v1 attacks, which exploit conditional branch misprediction, are often identified with attacks that bypass array bounds checking to leak data from a victim's memory. Generally, however, Spectre v1 attacks can exploit any conditional branch misprediction that makes the victim execute code incorrectly. In this paper, we investigate speculative type confusion, a Spectre v1 attack vector in which branch mispredictions make the victim execute with variables holding values of the wrong type and thereby leak memory content. We observe that speculative type confusion can be inadvertently introduced by a compiler, making it extremely hard for programmers to reason about security and manually apply Spectre mitigations. We thus set out to determine the extent to which speculative type confusion affects the Linux kernel. Our analysis finds exploitable and potentially-exploitable arbitrary memory disclosure vulnerabilities. We also find many latent vulnerabilities, which could become exploitable due to innocuous system changes, such as coding style changes. Our results suggest that Spectre mitigations which rely on statically/manually identifying "bad" code patterns need to be rethought, and more comprehensive mitigations are needed.

研究动机与目标

• 調查猜測型型別混淆（即錯誤預測的分支導致以錯誤變數類型執行）是否會在實際系統中導致可利用的記憶體資訊泄露。
• 確定此類漏洞在 Linux 內核中的普遍性，特別是那些由編譯器優化引入的漏洞。
• 評估現有軟體防護機制對這些新識別出的攻擊向量的有效性。
• 指出目前僅針對界限檢查繞過模式設計的 Spectre 防護策略的局限性。

提出的方法

• 對 Linux 內核原始碼與編譯後二進位檔進行靜態與二進位分析，以檢測猜測型型別混淆的工具程式。
• 逆向工程使用 GCC、Clang、ICC 和 MSVC 編譯的 C 程式碼所產生的 x86 組合語言，以識別猜測執行模式。
• 利用分支預測錯誤訓練技術測試可利用性，以觸發使用攻擊者控制值的暫存執行。
• 評估現有編譯器與作業系統層級防護機制（例如猜測載入硬化、lfence 指令屏障）對所發現工具程式的有效性。
• 分析多個版本與優化等級下編譯器的行為，以確定哪些會產生可利用的猜測型型別混淆模式。
• 根據程式碼結構與未來可利用潛力，將漏洞分類為可利用、可能可利用或潛在型。

实验结果

研究问题

• RQ1 由於編譯器產生的程式碼，猜測型型別混淆漏洞在 Linux 內核中有多普遍？
• RQ2 能否透過分支預測錯誤預測來利用猜測型型別混淆，以泄漏任意記憶體內容？
• RQ3 為何現有 Spectre 防護機制對猜測型型別混淆攻擊無效，即使它們是針對界限檢查繞過而設計的？
• RQ4 不同編譯器（GCC、Clang、ICC、MSVC）如何導致此類漏洞的產生？
• RQ5 在實務上，全面性防護機制（如猜測載入硬化或猜測屏障）的效能與安全性之間有何權衡？

主要发现

• Linux 內核中存在多個由編譯器優化引入的可利用猜測型型別混淆漏洞，特別是在暫存器於條件分支間被破壞的程式碼區域。
• 所有測試的主要編譯器——GCC、Clang、ICC 和 MSVC——在特定優化設定下均可產生包含猜測型型別混淆工具程式的 x86 程式碼。
• 現有 Spectre 防護機制（如 MSVC 的 /Qspectre 和 GCC 的內建函數保護）未涵蓋這些情況，因為它們專為界限檢查繞過而設計，而非型別混淆。
• 猜測載入硬化（SLH）與 lfence 指令屏障可有效防護這些漏洞，但會帶來顯著的效能代價，突顯對更具可擴展性解決方案的需求。
• 許多漏洞目前為潛在型，可能因程式碼微小變更（如重排或重構）而被觸發，使其難以透過靜態分析檢測。
• 本研究揭示當前防護策略的根本缺陷：它們依賴手動識別或靜態檢測特定工具程式模式，而無法捕捉型別混淆攻擊向量。