Módulo de segurança de referência Move descobre nova vulnerabilidade de estouro de inteiro

Recentemente, os pesquisadores, ao analisarem profundamente a linguagem Move, descobriram uma nova vulnerabilidade de estouro de inteiro. Esta vulnerabilidade existe no módulo de segurança de referências e pode levar a graves ataques de negação de serviço. Este artigo irá detalhar o processo de descoberta desta vulnerabilidade e os detalhes técnicos.

Mecanismo de segurança de referência da linguagem Move

A linguagem Move inspira-se na filosofia do Rust e suporta dois tipos de referências: referência imutável (&) e referência mutável (&mut). O módulo de segurança de referências valida a legalidade de todas as operações de referência através da varredura de blocos básicos e instruções de bytecode nas funções.

O processo de verificação inclui as seguintes etapas:

1. Analisar cada bloco básico
2. Executar código de bloco básico para gerar estado post
3. Combinar o estado pré e o estado pós
4. Atualizar o estado do bloco e propagá-lo para blocos subsequentes

Entre eles, o estado contém dois componentes-chave, locals e borrow graph, usados para garantir a segurança das referências dentro da função.

Detalhes da Vulnerabilidade

A vulnerabilidade ocorre na função join_ que referencia o módulo de segurança. Quando a soma do comprimento dos parâmetros da função e o comprimento das variáveis locais é superior a 256, a utilização do tipo u8 para iterar sobre locals pode causar um estouro de inteiro.

Especificamente:

• iter_locals() retorna um iterador do tipo u8
• Quando o comprimento dos parâmetros + o comprimento das variáveis locais > 256, ocorrerá um overflow.
• Os desenvolvedores parecem estar cientes de que é necessário verificar isso, mas o código real só verifica o número de variáveis locais.

Exploração de vulnerabilidades

Usando essa vulnerabilidade, é possível construir um bloco de código em loop:

1. Ao ser executado pela primeira vez, aciona um overflow, alterando o mapa locals.
2. Na segunda execução, acesso a um índice de locals que não existe, causando panic

Isto pode causar a falha de nós, resultando em um ataque de negação de serviço.

Reproduzir a Vulnerabilidade

Os pesquisadores forneceram um PoC para reproduzir esta vulnerabilidade:

1. Defina parameters e locals ambos como SignatureIndex(0), fazendo num_locals igual a 264
2. Após a primeira execução, o comprimento do novo mapa de locais torna-se 8
3. Na segunda execução, copyloc(57) acessa um offset inexistente, causando um panic.

Resumo e Sugestões

Esta vulnerabilidade indica:

1. Não existe código absolutamente seguro, a verificação estática pode ser contornada.
2. A auditoria de código é muito importante, pois pode descobrir a negligência dos desenvolvedores.
3. A linguagem Move deve aumentar a verificação em tempo de execução, e não apenas depender da verificação de segurança na fase de validação.

Os pesquisadores pedem aos designers da linguagem Move que fortaleçam os mecanismos de segurança em tempo de execução para evitar que vulnerabilidades semelhantes sejam exploradas e causem problemas mais graves.