Аналіз вразливості переповнення цілого числа в модулі безпеки Move

Ця стаття глибоко проаналізує нововиявлену у Move мові вразливість переповнення цілого числа. Ця вразливість існує в модулі перевірки безпеки посилань і може призвести до збоїв вузлів. Завдяки цьому поясненню читачі отримають більш глибоке розуміння Move мови.

Фон вразливості

Перед виконанням байт-коду мова Move проходить перевірку коду, яка ділиться на 4 етапи. Ця вразливість виникає під час етапу перевірки безпеки (reference_safety).

Основний процес перевірки безпеки є:

1. Визначення базових кодових блоків
2. Провести аналіз кожного базового блоку
3. Стан до і після злиття
4. Поширення стану до наступних блоків

Ключовим є підтримка структури AbstractState, яка містить locals і borrow graph для забезпечення безпеки посилань.

Деталі вразливості

Уразливість існує в функції join_. Коли довжина параметрів функції плюс довжина локальних змінних перевищує 256, через використання типу u8 для ітерації може виникнути переповнення цілого числа.

Конкретно кажучи:

• iter_locals() повертає ітератор типу u8
• Виникає переповнення, коли довжина параметра + довжина локальної змінної > 256
• Розробник перевірив лише кількість локальних змінних, ігноруючи довжину параметрів.

Використання вразливостей

Можна побудувати базовий блок циклу, використовуючи переповнення для зміни стану:

1. Загальна довжина параметрів і локальних змінних більше 256
2. Після першого виконання, довжина нових locals переповнює менше.
3. Під час повторного виконання доступ до неіснуючого індексу locals викликав паніку

Демонстрація PoC

Надає відтворюваний код PoC, що містить базовий блок з безкінечним циклом. Встановивши відповідні параметри та довжину локальних змінних, можна викликати DoS.

Висновок

Ця уразливість ще раз підтверджує:

1. Не існує абсолютно безпечного коду
2. Важливість аудиту коду
3. Для виконання Move потрібні додаткові перевірки безпеки
4. Статичну верифікацію можна обійти, безпечність під час виконання також важлива

Як лідери в області досліджень безпеки мови Move, ми продовжимо глибше вивчати відповідні питання безпеки та ділитися результатами досліджень з громадою.