Análisis de la vulnerabilidad de desbordamiento de enteros en el módulo de seguridad de referencia de Move

Este artículo analizará en profundidad una vulnerabilidad de desbordamiento de enteros recientemente descubierta en el lenguaje Move. Esta vulnerabilidad se encuentra en el módulo de verificación de seguridad de referencias y podría provocar el colapso de los nodos. A través de la explicación de este artículo, los lectores obtendrán una comprensión más profunda del lenguaje Move.

Contexto de la vulnerabilidad

El lenguaje Move realiza una verificación de código antes de ejecutar el bytecode, que se divide en 4 pasos. Esta vulnerabilidad aparece en el paso de verificación de referencia de seguridad (reference_safety).

El proceso principal de verificación de seguridad es:

1. Reconocer bloques de código básicos
2. Analizar cada bloque básico
3. Estado antes y después de la fusión
4. Propagar el estado a los bloques siguientes

La clave es mantener la estructura AbstractState, que incluye locals y el gráfico de préstamos para garantizar la seguridad de las referencias.

Detalles de la vulnerabilidad

La vulnerabilidad existe en la función join_. Cuando la longitud de los parámetros de la función más la longitud de las variables locales supera 256, se produce un desbordamiento de enteros debido al uso de la iteración de tipo u8.

Específicamente:

• iter_locals() devuelve un iterador de tipo u8
• Ocurre un desbordamiento cuando la longitud del parámetro + la longitud de la variable local > 256
• El desarrollador solo verificó el número de variables locales, ignorando la longitud de los parámetros.

Explotación de vulnerabilidades

Se puede construir un bloque básico cíclico que utiliza el desbordamiento para cambiar el estado:

1. La longitud total de los parámetros y las variables locales debe ser mayor que 256
2. Después de la primera ejecución, la longitud de los nuevos locals se desborda y se vuelve más pequeña.
3. Al ejecutar nuevamente, el acceso a un índice de locals que no existe provoca un pánico.

Demostración de PoC

Se proporciona un código PoC reproducible, que incluye un bloque básico en un bucle infinito. Al establecer parámetros adecuados y la longitud de las variables locales, se puede desencadenar un DoS.

Conclusión

Esta vulnerabilidad demuestra una vez más que:

1. No hay código absolutamente seguro
2. La importancia de la auditoría de código
3. El tiempo de ejecución de Move requiere más verificaciones de seguridad
4. La validación estática puede ser eludida, la seguridad en tiempo de ejecución también es importante.

Como líder en la investigación de seguridad del lenguaje Move, continuaremos profundizando en los problemas de seguridad relevantes y compartiremos los resultados de nuestra investigación con la comunidad.