KOOBE-Guard: कर्नेल डबल-फ्री भेद्यताओं का सक्रिय टेम्पोरल शमन

लेखक: Vedant Karande और Kiran Kumari
पाठ्यक्रम: Network & Systems Security (SIL7165) - भारतीय प्रौद्योगिकी संस्थान दिल्ली

अवलोकन

KOOBE-Guard एक गतिशील इंट्रूजन प्रिवेंशन सिस्टम (IPS) है, जिसे Linux Loadable Kernel Module (LKM) के रूप में विकसित किया गया है, ताकि विनाशकारी heap-आधारित भेद्यताओं को सक्रिय रूप से शमित किया जा सके, विशेष रूप से CVE-2024-1086 डबल-फ्री भेद्यता को लक्षित करते हुए[cite: 1]।

आधुनिक ऑपरेटिंग सिस्टम परोक्ष रूप से भरोसा करते हैं कि मेमोरी सबसिस्टम त्रुटिहीन रूप से मेमोरी आवंटित और मुक्त करते हैं[cite: 1]। जब Linux कर्नेल के nf_tables जैसे जटिल सबसिस्टम में तर्क त्रुटियाँ होती हैं, तो यह मेमोरी कुप्रबंधन का कारण बन सकता है, जिससे एक अन-प्रिविलेज्ड हमलावर Heap Feng Shui और ओवरलैपिंग आवंटनों के माध्यम से Local Privilege Escalation (LPE) प्राप्त कर सकता है[cite: 1]। KOOBE-Guard भारी, निष्क्रिय shadow-memory सुरक्षा से हटकर रीयल-टाइम Active Temporal Gap Tracking की ओर स्थानांतरित होकर इसे निष्प्रभावी करता है[cite: 1]।

आर्किटेक्चर और पद्धति

KASAN जैसे पारंपरिक शमन उपकरण विशाल shadow memory मैपिंग पर निर्भर करते हैं, जो 200%-300% CPU ओवरहेड और विनाशकारी RAM ब्लोट उत्पन्न करते हैं, जिससे वे उत्पादन वातावरण के लिए अनुपयोगी हो जाते हैं[cite: 1]।

KOOBE-Guard निम्नलिखित पद्धति का उपयोग करके एक्सप्लॉइट को इंटरसेप्ट करता है:

• Active Temporal Gap Tracking: Kprobes सीधे kfree आवंटन पथ में हुक किए जाते हैं[cite: 1]। मॉड्यूल मुक्त की गई मेमोरी पतों का सटीक नैनोसेकंड टाइमस्टैम्प दर्ज करता है[cite: 1]।
• एक्सप्लॉइट पहचान: सामान्य सिस्टम मेमोरी रीसायकलिंग हजारों नैनोसेकंडों में होती है, जबकि CVE-2024-1086 तत्काल रूप से अनवाइंड होता है[cite: 1]। KOOBE-Guard अत्यधिक अनुकूलित 5,000-नैनोसेकंड (5µs) थ्रेशोल्ड का उपयोग करके इस दुर्भावनापूर्ण सिग्नेचर को फ़िल्टर करता है[cite: 1]।
• सक्रिय पैरामीटर नलिफिकेशन: एक्सप्लॉइट लूप से मेल खाते टेम्पोरल सिग्नेचर का पता लगने पर, मॉड्यूल उड़ान के दौरान CPU रजिस्टरों को बलपूर्वक NULL (regs->di = 0) में पुनर्लिखित करता है[cite: 1]। यह एक सुरक्षित kfree(NULL) ऑपरेशन को मजबूर करता है, जो SLUB freelist भ्रष्टाचार को पूरी तरह से रोकता है[cite: 1]।

रिपॉजिटरी संरचना

• defense_module/: इसमें KOOBE-Guard LKM स्रोत कोड और Makefiles शामिल हैं।
• evaluation_scripts/: मात्रात्मक QEMU परीक्षण के लिए उपयोग की जाने वाली Bash स्क्रिप्ट (benchmark.sh, hit_rate.sh)।
• docs/: व्यापक परियोजना रिपोर्ट और प्रस्तुति स्लाइड्स।
• proofs/: सिस्टम आर्किटेक्चर आरेख, निष्पादन स्क्रीनशॉट और बेंचमार्क ग्राफ़।
• exploit_poc/: CVE-2024-1086 के लिए weaponized Proof-of-Concept से जोड़ने वाला सबमॉड्यूल, जिसका उपयोग भेद्यता स्थिति को ट्रिगर करने के लिए किया जाता है।

मूल्यांकन और बेंचमार्क

इस फ्रेमवर्क का कठोरता से मूल्यांकन एक गहराई से पृथक, हार्डवेयर-त्वरित QEMU वर्चुअल प्रयोगशाला में किया गया, जो कस्टम-कंपाइल किए गए Linux 6.6.0 कर्नेल पर चल रही थी[cite: 1]।

• हिट रेट: प्रत्येक क्लीन बूट चक्र में 100% इंटरसेप्शन दर प्राप्त की, जिससे डबल-फ्री पूरी तरह से निष्प्रभावी हो गई[cite: 1]।
• मेमोरी ओवरहेड: 0% मापने योग्य RAM ब्लोट पेश किया; डिफेंस मॉड्यूल सक्रिय होने और न होने दोनों स्थितियों में सिस्टम ने 57MB RAM का उपभोग किया[cite: 1]।
• CPU विलंबता: अत्यंत न्यूनतम I/O विलंबता दंड लगाया, फाइलसिस्टम ट्रैवर्सल को 2.01-सेकंड के असुरक्षित बेसलाइन की तुलना में 2.25 सेकंड में संसाधित किया[cite: 1]।

आभार और श्रेय

• एक्सप्लॉइट विकास: KOOBE-Guard मॉड्यूल की रक्षात्मक प्रभावकारिता का मूल्यांकन करने के लिए उपयोग किया गया मूल weaponized Proof-of-Concept (PoC) एक्सप्लॉइट Notselwyn द्वारा लिखा गया था। अछूता एक्सप्लॉइट कोड exploit_poc निर्देशिका में एक सबमॉड्यूल के रूप में जोड़ा गया है। मूल रिपॉजिटरी यहाँ देखें: Notselwyn/CVE-2024-1086।
• शोध आधार: यह कार्य Chen एट अल. (USENIX 2020) द्वारा विकसित मूल KOOBE विश्लेषणात्मक उपकरण की आधारभूत अवधारणाओं का विस्तार करता है[cite: 1]।

लाइसेंस

यह परियोजना GPL-2.0 लाइसेंस के अंतर्गत लाइसेंस प्राप्त है। विवरण के लिए LICENSE फ़ाइल देखें।