부호 있는 정수 경계

오버플로우

부호 있는 정수 취약점 예

char *read_data(int sockfd)
{
    char *buf;
    int length = network_get_int(sockfd);

    if(!(buf = (char *)malloc(MAXCHARS)))
        die("malloc: %m");

    if(length < 0 || length + 1 >= MAXCHARS) {
        free(buf);
        die("bad length: %d", value);
    }

    if(read(sockfd, buf, length) <= 0) {
        free(buf);
        die("read: %m");
    }

    buf[value] = '\0';

    return buf;
}

먼저 length가 MAXCHARS 보다 작은지 검사한다. 그리고 2 번째 length 검사에서 length 값에 1을 더한다. 이것이 공격 벡터가 된다. 값이 0x7FFFFFFF라면 이 값은 0보다 크기 때문에 첫 번째 검사를 통과하며, 두 번째 length 검사를 통과한다. (0x7FFFFFFF + 1은 0x80000000이 되고 이는 음수 값이다.) 결과적으로 read()는 경게가 없는, 즉 음수 값을 가진 length 인자로 호출되고, 이는 잠재적으로 버퍼 오버플로우 상황을 만든다.

OpenSSL 0.9.6I에서 정부 부호 경계 취약점 예

BIO(buffered IO) 스트림으로부터 ASN.1 객체를 읽어 들이는 crypto/asn1/a_d2i_fp.c - ASN1_d2i_fp() 함수의 일부분이다.

c.inf=ASN1_get_object(&(c.p),&(c.slen),&(c.tag),&(c.xclass), len - off);
...
{
    /* c.slen 바이트만큼 데이터를 읽어 들임 */
    want = (int)c.slen;
    if (want > (len - off))
    {
        want -=(len - off);
        if (!BUF_MEM_grow(b, len + want))
        {
            ASN1err(ASN1_F_ASN1_D2I_BIO, ERR_R_MALLOC_FAILURE);
            goto err;
        }
        i = BIO_read(in, &(b->data[len]), want);

ASN1_get_object() 함수는 다음의 ANS.1 객체 길이를 명시한 객체 헤더를 읽어 들인다. 길이는 c.slen 부호 있는 정수에 저장되고 want에 할당된다. ANS.1 객체 함수는 이 숫자가 음수가 아니고 c.slen의 가능한 최댓값은 0x7FFFFFFF이 되도록 확인한다. 이 지점에서 len은 메모리에 이미 읽어 들인 데이터의 양이며, off는 데이터에서 파싱된 객체의 오프셋 값이다. 따라서 (len - off)는 파서에 의해 프로세스되지 않은 메모리에 읽어 들인 데이터의 양을 의미한다. 파싱되지 않은 데이터보다 객체가 크다면 코드는 더 많은 공간을 할당하고 나머지 객체를 읽어 들인다.

BUF_MEM_grow() 함수는 메모리 버퍼 b에서 요구되는 공간을 할당하기 위해 호출된다. 두 번째 인자는 크기 매개변수다. 문제는 두 번째 인자인 len + want 연산식이 오버플로우를 초래할 수 있다는 점이다. len이 200바이트이고 off가 50바이트라면 공격자는 객체 크기를 0x7FFFFFFF로 정하고, 이는 want의 값이 된다. 0x7FFFFFFF는 메모리에 남아있는 데이터인 150바이트보다 큰 값이기 때문에 메모리 할당 부분이 실행된다. want에서 이미 읽어 들인 데이터 값인 150을 빼고 결과 값은 0x7FFFFF69가 된다. BUF_MEM_grow()는 len + want 또는 0x7FFFFF69 + 200바이트 값을 요구하는데, 이 값은 0x80000031이 되고 큰 음수 값으로 해석된다.