データのみの攻撃は思ったより簡単——自動生成ツールEinsteinが常識を覆す
Data-Only Attacks Are Easier Than You Think
メモリ安全性の脆弱性の約70%を占めるデータのみの攻撃は、これまでアプリケーション固有で複雑すぎると考えられてきた。しかしUSENIX Security 2024の研究で、システムコールを標的にしたアプリケーション非依存の手法により、低労力の攻撃者でも自動生成できることが実証された。ツールEinsteinは、攻撃者が制御可能なデータがセキュリティ上重要なシステムコールの引数にそのまま渡される箇所を特定し、驚くほど簡単に実用的なエクスプロイトを生成する。この発見は、ベンダーと研究者に緩和戦略の再考を迫る。
被害者のサーバーはクライアントが提供した悪意のあるコードを一切実行しない。すべての有害な動作は悪意のあるデータによって引き起こされる。
HNでの議論
43- miellaby
> データのみの攻撃、つまりプログラムの制御フローに影響を与えない攻撃は、長らくあまりに洗練されすぎていてニッチであり、実用的な脅威にはならないと考えられてきた。
ユーザーデータを悪用して悪意のある動作を引き起こすのは、インタプリタのevalインジェクション（php、js、perl、シェル呼び出し、SQLなど）の基本だ。こうした攻撃は50年も前からあるようなものだ。何を見落としているんだ？
- mgaldys4
データのみの攻撃はどちらかというと簡単に手が届くものだ。古典的な静的解析でもAIがこれほど強くなる前から見つけられていたし、LLMは識別をさらに容易にする。しかし本当の脅威はビジネスロジックに埋もれたリスク、特に正常なビジネスロジックの悪用だ。eコマースの返金悪用を考えてみよう。バグハンターはそれをリスクとは呼ばないだろうが、詐欺グループはこの種のロジックから何百万も稼いでいる。そしてそのロジックは正当なビジネスロジックであるため、検出が非常に難しい。
- Terr_
> この攻撃は事実上、execveシステムコールの引数のみを変更する
このシェルツールのチェックリスト[0]は関連があると思う。ただし焦点は、誰かが提供しうるより高度な引数を知らないかもしれないためにsetuidが危険であるという点にもっと置かれている。
> GTFOBinsは、設定が不適切なシステムにおいてローカルのセキュリティ制限を回避するために使用できるUnixライクな実行ファイルのキュレーションされたリストです。
- gumby
> データのみの攻撃は…長らくあまりに洗練されすぎていてニッチであり、実用的な脅威にはならないと考えられてきた。
ファジングの目的全体が、データのみの攻撃を見つける例なのだと思っていた。
- joa-
これはテイント解析がやや過小評価されていることを示してくれた。テイント解析を使ってもっと簡単にリバースエンジニアリングできるような、より良いツールに投資すべきかもしれない。これはUIの問題だと思うか？もちろん過剰テイントというものはあるが、より良いUIでうまく機能させられるかもしれない。