Analyse des vulnérabilités d'overflow d'entiers du module de sécurité des références Move

Cet article analysera en profondeur une nouvelle vulnérabilité de débordement d'entier dans le langage Move. Cette vulnérabilité se trouve dans le module de vérification de la sécurité des références et pourrait entraîner un effondrement des nœuds. Grâce à l'explication de cet article, les lecteurs auront une compréhension plus approfondie du langage Move.

Contexte de la vulnérabilité

Le langage Move effectue une vérification de code avant d'exécuter le bytecode, qui se divise en 4 étapes. Cette vulnérabilité apparaît dans l'étape de vérification de la référence de sécurité (reference_safety).

Le processus principal de vérification de sécurité est :

1. Identifier les blocs de code de base
2. Analyser chaque bloc de base
3. État avant et après la fusion
4. Propager l'état aux blocs suivants

Le point clé est de maintenir la structure AbstractState, qui contient des locaux et un graphe d'emprunt pour garantir la sécurité des références.

Détails de la vulnérabilité

Une vulnérabilité existe dans la fonction join_. Lorsque la longueur des paramètres de la fonction ajoutée à la longueur des variables locales dépasse 256, un dépassement d'entier se produit en raison de l'utilisation d'une itération de type u8.

Plus précisément :

• iter_locals() renvoie un itérateur de type u8
• Débordement se produit lorsque la longueur des paramètres + la longueur des variables locales > 256
• Le développeur n'a vérifié que le nombre de variables locales, ignorant la longueur des paramètres.

Exploitation des vulnérabilités

On peut construire un bloc de base cyclique, en utilisant un débordement pour changer l'état :

1. La longueur totale des paramètres et des variables locales doit être supérieure à 256
2. Après la première exécution, la longueur des nouveaux locals déborde et devient plus petite.
3. Lors de l'exécution à nouveau, l'accès à un index locals inexistant entraîne un panic.

Démonstration PoC

Il fournit un code PoC reproductible, comprenant un bloc de base en boucle infinie. En réglant les paramètres appropriés et la longueur des variables locales, un DoS peut être déclenché.

Conclusion

Cette faille souligne à nouveau :

1. Il n'y a pas de code absolument sûr.
2. L'importance de l'audit de code
3. Le runtime de Move nécessite plus de vérifications de sécurité.
4. La validation statique peut être contournée, la sécurité à l'exécution est tout aussi importante.

En tant que leader de la recherche sur la sécurité du langage Move, nous continuerons à explorer en profondeur les problèmes de sécurité connexes et à partager nos résultats de recherche avec la communauté.