[论文解读] Technical Information on Vulnerabilities of Hypercall Handlers

Aleksandar Milenkoski, Marco Vieira+3 more|arXiv (Cornell University)|Oct 5, 2014

Religion and Sociopolitical Dynamics in Nigeria参考文献 2被引用 4

一句话总结

本文对Xen虚拟机监控器中八个公开披露的hypercall漏洞进行了深入的技术分析，通过逆向工程补丁揭示了根本原因、利用方法及利用后的系统状态。研究发现，memory_op、gnttab_op和mmuext_op等处理程序中对无效输入的处理不当，会导致内存损坏或拒绝服务攻击，关键发现表明：未检查的MFN值和错误的错误处理机制会引发严重的权限提升或虚拟机监控器崩溃。

ABSTRACT

Modern virtualized service infrastructures expose attack vectors that enable attacks of high severity, such as attacks targeting hypervisors. A malicious user of a guest VM (virtual machine) may execute an attack against the underlying hypervisor via hypercalls, which are software traps from a kernel of a fully or partially paravirtualized guest VM to the hypervisor. The exploitation of a vulnerability of a hypercall handler may have severe consequences such as altering hypervisor's memory, which may result in the execution of malicious code with hypervisor privilege. Despite the importance of vulnerabilities of hypercall handlers, there is not much publicly available information on them. This significantly hinders advances towards securing hypercall interfaces. In this work, we provide in-depth technical information on publicly disclosed vulnerabilities of hypercall handlers. Our vulnerability analysis is based on reverse engineering the released patches fixing the considered vulnerabilities. For each analyzed vulnerability, we provide background information essential for understanding the vulnerability, and information on the vulnerable hypercall handler and the error causing the vulnerability. We also show how the vulnerability can be triggered and discuss the state of the targeted hypervisor after the vulnerability has been triggered.

研究动机与目标

• 为虚拟化环境中hypercall漏洞缺乏详细技术信息的问题提供解决方案。
• 对八个Xen hypercall漏洞发布的补丁进行逆向工程，以理解其根本原因。
• 演示每种漏洞的实际利用技术，包括触发条件和攻击后的系统状态。
• 通过分析关键hypercall处理程序中错误处理机制的缺陷，对hypercall攻击面进行特征化。
• 通过详细的漏洞分析，为强化hypercall接口提供可操作的见解。

提出的方法

• 逆向工程官方发布的补丁，以识别每种漏洞的代码级错误及其修复方式。
• 分析CVE报告、安全公告及虚拟机监控器源代码，以重建每个脆弱hypercall处理程序的工作流程及输入/输出行为。
• 开发概念验证利用代码，以在受控测试环境中验证每种漏洞的触发条件。
• 映射利用前后的虚拟机监控器内存布局与状态转换，以评估其影响。
• 聚焦于五个关键hypercall处理程序：memory_op、gnttab_op、set_debugreg、physdev_op和mmuext_op，每个处理程序具有独特的错误模式。
• 结合静态与动态分析，识别hypercall处理过程中缺失的输入验证、错误代码处理不当以及缓冲区读取越界等问题。

实验结果

研究问题

• RQ1 Xen虚拟机监控器中hypercall漏洞的根本原因是什么，特别是在内存和I/O管理处理程序中？
• RQ2 如何通过无效输入参数（如超出边界的MFN或未经验证的错误码）来利用漏洞，导致虚拟机监控器内存损坏？
• RQ3 触发每种漏洞后，虚拟机监控器的可观察到的利用后系统状态是什么？
• RQ4 hypercall处理程序中错误的错误处理机制如何导致权限提升或拒绝服务攻击？
• RQ5 在漏洞利用中是否存在可泛化的共同模式，可用于改进hypercall接口的检测与加固？

主要发现

• CVE-2012-3496在memory_op中由无效MFN触发，导致缓冲区读取越界，可能引发虚拟机监控器内存损坏。
• CVE-2012-5513在gnttab_op中，恶意客户机可通过重用已释放的授予表条目，触发use-after-free条件，导致虚拟机监控器内存损坏。
• CVE-2012-4539在gnttab_op中存在错误代码处理不当的问题，负数错误码被用作索引，导致越界内存访问。
• CVE-2012-5525在mmuext_op中，由于get_page_from_gfn中未检查MFN输入，当提供无效MFN时，导致缓冲区读取越界并引发虚拟机监控器崩溃。
• 在所有测试案例中，虚拟机监控器在利用后要么崩溃，要么进入损坏状态，且在缺乏正确输入验证的情况下无法恢复。
• CVE-2012-5525的补丁引入了mfn_valid检查，以防止无效MFN的使用，表明输入验证对hypercall安全至关重要。