Le module de sécurité de référence Move a découvert une nouvelle vulnérabilité de débordement d'entier

Récemment, des chercheurs ont découvert une nouvelle vulnérabilité de dépassement d'entier lors de l'analyse approfondie du langage Move. Cette vulnérabilité existe dans le module de sécurité des références et pourrait entraîner des attaques par déni de service graves. Cet article présentera en détail le processus de découverte de cette vulnérabilité et ses détails techniques.

Mécanisme de sécurité des références dans le langage Move

Le langage Move s'inspire des idées de Rust et prend en charge deux types de références : la référence immuable (&) et la référence mutable (&mut). Le module de sécurité des références valide la légitimité de toutes les opérations de référence en scannant les blocs de base et les instructions de bytecode dans les fonctions.

Le processus de vérification comprend principalement les étapes suivantes :

1. Analyser chaque bloc de base
2. Exécuter le code de bloc de base pour générer l'état postérieur
3. Fusionner l'état pré et l'état post
4. Mettre à jour l'état des blocs et le propager aux blocs suivants

Parmi ceux-ci, l'état contient deux composants clés, locals et borrow graph, qui sont utilisés pour garantir la sécurité des références dans la fonction.

Détails de la vulnérabilité

Cette vulnérabilité se produit dans la fonction join_ qui fait appel au module de sécurité. Lorsque la somme de la longueur des paramètres de la fonction et de la longueur des variables locales est supérieure à 256, l'utilisation du type u8 pour itérer sur les locals peut entraîner un dépassement d'entier.

Plus précisément :

• iter_locals() renvoie un itérateur de type u8
• Lorsque la longueur des paramètres + la longueur des variables locales > 256, il y aura un dépassement.
• Les développeurs semblent réaliser qu'il est nécessaire de vérifier cela, mais le code réel ne vérifie que le nombre de variables locales.

Exploitation de vulnérabilités

En utilisant cette vulnérabilité, il est possible de construire un bloc de code en boucle :

1. Déclenchement d'un dépassement lors de la première exécution, modification de la carte des locaux.
2. Accès à un index locals inexistant lors de la deuxième exécution, ce qui provoque un panic.

Cela peut provoquer un effondrement des nœuds, entraînant une attaque par déni de service.

Reproduction de vulnérabilité

Les chercheurs ont fourni un PoC pour reproduire cette vulnérabilité :

1. Définissez parameters et locals tous deux comme SignatureIndex(0), et faites que num_locals soit 264
2. Après la première exécution, la longueur de la nouvelle carte des locaux passe à 8
3. Lors de la deuxième exécution, copyloc(57) accède à un offset inexistant, ce qui entraîne un panic.

Résumé et suggestions

Cette vulnérabilité indique :

1. Il n'existe pas de code absolument sécurisé, la vérification statique peut être contournée.
2. L'audit de code est très important, il peut révéler les négligences des développeurs.
3. Le langage Move devrait ajouter des vérifications à l'exécution, et ne pas se contenter de s'appuyer sur les vérifications de sécurité de la phase de validation.

Les chercheurs appellent les concepteurs du langage Move à renforcer les mécanismes de sécurité à l'exécution pour empêcher que des vulnérabilités similaires ne soient exploitées, entraînant des problèmes plus graves.