このイメージは、wabt を上流のタグ 1.0.41 でクローンし、wat2wasm と wasm2c をビルドし、 ゲストモジュールとプレーンなエンベッダをコンパイルして実行します。

期待される出力:

最後の行は /tmp/pwned.txt の内容です。このファイルは、サンドボックス化されたモジュールが実行される前には存在しませんでした。

linux/arm64 と linux/amd64 で検証済みです。モジュールにはアーキテクチャ固有の要素はありません: インスタンスアドレス、GOT スロット、libc オフセットはすべて、ビルド時に、ビルドされたばかりのバイナリとそのイメージの libc から解決されます。

Docker を使わない場合

Linux で clang、cmake、ninja、binutils がインストールされている場合:

macOS はこの PoC のサポート対象外です。Darwin は RLIMIT_AS を強制しないため、 過大な calloc が成功し、バグが発動しません。arm64 macOS ビルドは常に位置独立であり、 Mach-O にはリーク手順に使える ELF GOT がありません。欠陥自体はプラットフォーム非依存ですが、 このエクスプロイトチェーンだけが Linux 固有です。

他のバージョンとコマンド:

ゲストが行うこと

1. (table $t 2147483648 funcref) を宣言します。68 GB の calloc は失敗し、data は NULL、 size は 2147483648 のままで、テーブルインデックスは絶対アドレスになります。
2. got_slot/32 にある table.get は、壊れたテーブルを通してエンベッダの GOT を読み取り、 table.set はその結果をモジュール自身のグローバルに保存します。wasm コードはそれを整数として読むことができます。 これにより libc の malloc アドレスがリークし、system は対象の libc 内の固定距離から導出されます。
3. 4 つの連続したグローバルで wasm_rt_funcref_t を構築します: func_type は呼び出しサイトの型ハッシュのコピーを指します (func_types_eq_slowpath はそれを memcmp で比較するため、ゲストが制御したバイトがチェックを通過します)、 func = system、module_instance = コマンド文字列(これもグローバルに保持されます)。
4. globals_addr/32 で call_indirect を実行します。wasm2c は ((t)entry.func)(entry.module_instance, ...) を生成するため、これは system(command) を呼び出します。

モジュールに埋め込まれているレイアウト上の唯一の事実はモジュールインスタンスのアドレスです。これはグローバルであるため、 非 PIE のエンベッダでは固定です。ASLR は有効のままで、libc のアドレスは実行時にリークされます。

トリガー条件

テーブルの割り当てが失敗する必要があります。PoC は ulimit -v 1000000 を使用します。これは、 信頼できないコードを実行するホストが設定する種類のアドレス空間制限です。また、32 ビットホストでは割り当てをまったく満たせないため失敗し、 vm.overcommit_memory=2 の場合や、十分なメモリプレッシャーの下でも失敗します。

標準の 64 ビット Linux でデフォルトの overcommit ヒューリスティックを使用すると、割り当ては成功し、 触られることはありません。そのため、このバグは通常のテストを生き残ります。

影響を受けるバージョン

wasm2c テーブルを同梱するすべてのリリース。チェックされていない calloc はコミット ab9e0b55 (#813) に由来します。リリース済みの 1.0.41 と現在の main に対して検証済みです。

同じランタイム内のメモリアロケータは、このケースを次のように処理します:

テーブルアロケータにも同じチェックが必要です。

ファイル

• Dockerfile は wabt をビルドし、PoC を実行します。
• tableflip_poc.py はゲストモジュールを生成し、エンベッダをビルドし、nm と readelf を使ってビルド済みバイナリと対象の libc から 3 つの定数を解決して実行します。生成されるエンベッダにはエクスプロイトサポートコードは含まれません。