Modul keamanan referensi Move menemukan kerentanan overflow integer baru

Baru-baru ini, para peneliti menemukan kerentanan baru berupa overflow integer saat menganalisis bahasa Move secara mendalam. Kerentanan ini ada di modul keamanan referensi, yang dapat menyebabkan serangan penolakan layanan yang serius. Artikel ini akan memberikan penjelasan rinci tentang proses penemuan kerentanan ini dan detail teknisnya.

Mekanisme Keamanan Referensi Bahasa Move

Bahasa Move mengadopsi pemikiran Rust, mendukung dua jenis referensi: referensi tidak dapat diubah (&) dan referensi dapat diubah (&mut). Modul keamanan referensi memverifikasi semua operasi referensi yang sah dengan memindai blok dasar dan instruksi bytecode dalam fungsi.

Proses verifikasi terutama mencakup langkah-langkah berikut:

1. Analisis setiap blok dasar
2. Menjalankan kode blok dasar untuk menghasilkan post state
3. Menggabungkan pre state dan post state
4. Perbarui status blok dan sebar ke blok berikutnya

Di antara itu, state mencakup dua komponen kunci yaitu locals dan borrow graph, yang digunakan untuk memastikan keamanan referensi dalam fungsi.

Rincian Kerentanan

Vuln ini terjadi di dalam fungsi join_ yang merujuk pada modul keamanan. Ketika jumlah panjang parameter fungsi dan panjang variabel lokal lebih dari 256, penggunaan tipe u8 untuk mengiterasi locals akan menyebabkan overflow integer.

Secara spesifik:

• iter_locals() mengembalikan iterator tipe u8
• Ketika panjang parameter + panjang variabel lokal > 256, akan terjadi overflow
• Para pengembang tampaknya menyadari perlunya memeriksa hal ini, tetapi kode sebenarnya hanya memeriksa jumlah variabel lokal.

Eksploitasi Kerentanan

Memanfaatkan celah ini dapat membangun blok kode berulang:

1. Memicu overflow saat pertama kali dieksekusi, mengubah peta locals
2. Mengakses indeks locals yang tidak ada saat eksekusi kedua, menyebabkan panic

Ini akan menyebabkan kegagalan node, membentuk serangan penolakan layanan.

Reproduksi Kerentanan

Peneliti menyediakan PoC untuk mereproduksi kerentanan ini:

1. Atur parameters dan locals menjadi SignatureIndex(0), sehingga num_locals menjadi 264
2. Setelah eksekusi pertama, panjang peta locals baru menjadi 8
3. Saat eksekusi kedua, copyloc(57) mengakses offset yang tidak ada menyebabkan panic.

Ringkasan dan Saran

Keterangan tentang celah ini:

1. Tidak ada kode yang benar-benar aman, pemeriksaan statis dapat dilewati.
2. Audit kode sangat penting, dapat menemukan kelalaian pengembang.
3. Bahasa Move seharusnya menambahkan pemeriksaan waktu berjalan, bukan hanya bergantung pada pemeriksaan keamanan di tahap verifikasi.

Para peneliti menyerukan kepada perancang bahasa Move untuk memperkuat mekanisme keamanan runtime, untuk mencegah masalah yang lebih serius akibat eksploitasi kerentanan serupa.