Phát hiện lỗ hổng tràn số nguyên mới trong mô-đun bảo mật tham chiếu của ngôn ngữ Move

Gần đây, các nhà nghiên cứu trong quá trình phân tích sâu về ngôn ngữ Move đã phát hiện ra một lỗ hổng tràn số nguyên mới. Lỗ hổng này tồn tại trong mô-đun an toàn tham chiếu, có thể dẫn đến các cuộc tấn công từ chối dịch vụ nghiêm trọng. Bài viết này sẽ giới thiệu chi tiết về quá trình phát hiện và các thông tin kỹ thuật liên quan đến lỗ hổng này.

Cơ chế an toàn tham chiếu của ngôn ngữ Move

Ngôn ngữ Move đã tham khảo tư tưởng của Rust, hỗ trợ hai loại tham chiếu: tham chiếu không thay đổi (&) và tham chiếu có thể thay đổi (&mut). Mô-đun an toàn tham chiếu xác minh tính hợp pháp của tất cả các thao tác tham chiếu bằng cách quét các khối cơ bản và các lệnh bytecode trong hàm.

Quá trình xác minh chủ yếu bao gồm các bước sau:

1. Phân tích từng khối cơ bản
2. Thực thi mã khối cơ bản tạo ra trạng thái sau
3. Kết hợp trạng thái trước và trạng thái sau
4. Cập nhật trạng thái khối và lan truyền đến các khối tiếp theo

Trong đó, state bao gồm hai thành phần chính là locals và borrow graph, được sử dụng để đảm bảo tính an toàn của các tham chiếu trong hàm.

Chi tiết lỗ hổng

Lỗ hổng này xuất hiện trong hàm join_ của mô-đun bảo mật tham chiếu. Khi tổng chiều dài của tham số hàm và chiều dài biến cục bộ lớn hơn 256, việc sử dụng loại u8 để lặp qua locals sẽ dẫn đến tràn số nguyên.

Cụ thể là:

• iter_locals() trả về một iterator kiểu u8
• Khi độ dài tham số + độ dài biến cục bộ > 256 sẽ bị tràn
• Các nhà phát triển dường như nhận ra cần kiểm tra điều này, nhưng mã thực tế chỉ kiểm tra số lượng biến cục bộ.

Khai thác lỗ hổng

Sử dụng lỗ hổng này có thể tạo ra một khối mã vòng lặp:

1. Khi thực hiện lần đầu tiên sẽ kích hoạt tràn, thay đổi bản đồ locals
2. Truy cập chỉ mục locals không tồn tại khi thực hiện lần thứ hai, dẫn đến panic

Điều này sẽ gây ra sự cố nút, hình thành cuộc tấn công từ chối dịch vụ.

Tái hiện lỗ hổng

Các nhà nghiên cứu đã cung cấp một PoC để tái tạo lỗ hổng này:

1. Đặt parameters và locals đều là SignatureIndex(0), làm cho num_locals là 264
2. Độ dài của bản đồ locals mới trở thành 8 sau lần thực thi đầu tiên
3. Khi thực hiện lần thứ hai, copyloc(57) truy cập vào offset không tồn tại dẫn đến panic.

Tóm tắt và đề xuất

Lỗ hổng này cho thấy:

1. Không có mã code an toàn tuyệt đối, kiểm tra tĩnh có thể bị bỏ qua.
2. Kiểm toán mã rất quan trọng, có thể phát hiện sự bất cẩn của nhà phát triển
3. Ngôn ngữ Move nên tăng cường kiểm tra thời gian chạy, chứ không chỉ dựa vào kiểm tra an ninh trong giai đoạn xác minh.

Các nhà nghiên cứu kêu gọi các nhà thiết kế ngôn ngữ Move củng cố cơ chế an toàn thời gian chạy để ngăn chặn việc khai thác các lỗ hổng tương tự gây ra các vấn đề nghiêm trọng hơn.