KOOBE-Guard: التخفيف الزمني النشط لثغرات التحرير المزدوج في النواة

المؤلفون: Vedant Karande و Kiran Kumari
المقرر: أمن الشبكات والأنظمة (SIL7165) - المعهد الهندي للتكنولوجيا دلهي

نظرة عامة

KOOBE-Guard هو نظام منع التسلل الديناميكي (IPS) طُوّر كوحدة نواة قابلة للتحميل في لينكس (LKM) للتخفيف الفعّال من الثغرات الكارثية القائمة على الكومة، مع استهداف ثغرة التحرير المزدوج CVE-2024-1086 تحديدًا[cite: 1].

تثق أنظمة التشغيل الحديثة ضمنيًا بأن النظم الفرعية للذاكرة تقوم بتخصيص الذاكرة وتحريرها دون أخطاء[cite: 1]. عندما تحتوي نظم فرعية معقدة مثل nf_tables في نواة لينكس على أخطاء منطقية، فقد يؤدي ذلك إلى سوء إدارة الذاكرة، مما يسمح لمهاجم غير مميز بتحقيق تصعيد الامتيازات المحلية (LPE) عبر Heap Feng Shui والتخصيصات المتداخلة[cite: 1]. تعمل KOOBE-Guard على تحييد هذا الخطر بالانتقال من الدفاعات السلبية الثقيلة القائمة على الذاكرة الظلية إلى تتبع الفجوات الزمنية النشط في الوقت الفعلي[cite: 1].

البنية والمنهجية

تعتمد أدوات التخفيف التقليدية مثل KASAN على تعيين ضخم للذاكرة الظلية، مما يُدخل عبئًا على المعالج بنسبة 200%-300% وتضخمًا كارثيًا في الذاكرة العشوائية، مما يجعلها غير قابلة للاستخدام في بيئات الإنتاج[cite: 1].

يعترض KOOBE-Guard الاستغلال باستخدام المنهجية التالية:

• تتبع الفجوات الزمنية النشط: يتم ربط Kprobes مباشرةً بمسار مُخصِّص kfree[cite: 1]. تسجّل الوحدة الطابع الزمني الدقيق بالنانو ثانية لعناوين الذاكرة المُحرَّرة[cite: 1].
• تحديد الاستغلال: تحدث إعادة تدوير الذاكرة الطبيعية للنظام على مدى عشرات الآلاف من النانو ثوانٍ، بينما تُفكَّك CVE-2024-1086 بشكل فوري[cite: 1]. تقوم KOOBE-Guard بتصفية هذا التوقيع الخبيث باستخدام حدّ مُحسَّن بشدة يبلغ 5,000 نانو ثانية (5µs)[cite: 1].
• إبطال المعامل النشط: عند اكتشاف توقيع زمني يطابق حلقة استغلال، تقوم الوحدة بإعادة كتابة سجلات المعالج قسرًا أثناء التنفيذ (regs->di = 0) إلى NULL[cite: 1]. يُجبر هذا على تنفيذ عملية kfree(NULL) آمنة، مما يمنع تمامًا تلف قائمة SLUB الحرة[cite: 1].

بنية المستودع

• defense_module/: يحتوي على الكود المصدري لوحدة KOOBE-Guard النمطية (LKM) وملفات Makefiles.
• evaluation_scripts/: نصوص Bash (benchmark.sh، hit_rate.sh) المستخدمة للاختبار الكمي عبر QEMU.
• docs/: تقارير المشروع الشاملة وشرائح العرض التقديمي.
• proofs/: مخططات بنية النظام، ولقطات شاشة للتنفيذ، ورسوم بيانية للمعايير.
• exploit_poc/: وحدة فرعية ترتبط بإثبات المفهوم المُسلَّح لـ CVE-2024-1086 المستخدم لتحفيز حالة الثغرة.

التقييم والمعايير

تم تقييم الإطار بدقة في مختبر افتراضي معزول بعمق ومسرَّع بالأجهزة عبر QEMU يعمل بنواة لينكس 6.6.0 مُترجَمة خصيصًا[cite: 1].

• معدل الإصابة: حقق معدل اعتراض 100% لكل دورة إقلاع نظيفة، مما يحيد التحرير المزدوج تمامًا[cite: 1].
• الحمل على الذاكرة: لم يُدخل أي تضخم قابل للقياس في الذاكرة العشوائية (0%)؛ حيث استهلك النظام 57 ميغابايت من الذاكرة مع تفعيل وحدة الدفاع وبدون تفعيلها على حد سواء[cite: 1].
• زمن استجابة المعالج: فرض عقوبة زمن استجابة ضئيلة للغاية على الإدخال/الإخراج، حيث عالج اجتيازات نظام الملفات في 2.25 ثانية مقارنة بخط أساس غير محمي يبلغ 2.01 ثانية[cite: 1].

الإقرارات والاستناد

• تطوير الاستغلال: قام بتأليف الاستغلال الأصلي المُسلَّح كإثبات مفهوم (PoC) المستخدم لتقييم فعالية الدفاع في وحدة KOOBE-Guard الكاتب Notselwyn. تم ربط كود الاستغلال كما هو دون تعديل كوحدة فرعية في دليل exploit_poc. قم بزيارة المستودع الأصلي هنا: Notselwyn/CVE-2024-1086.
• الأساس البحثي: يوسّع هذا العمل المفاهيم الأساسية من الأداة التحليلية الأصلية KOOBE التي طورها Chen وآخرون (USENIX 2020)[cite: 1].

الرخصة

هذا المشروع مرخّص بموجب رخصة GPL-2.0. راجع ملف LICENSE للحصول على التفاصيل.