Intel Memory Protection Extensions(Intel MPX) x86, x CPU skylake 2015 Intel Software Development Emulator 本資料に登場する Intel は Intel Corp. の登録

Size: px

Start display at page:

Download "Intel Memory Protection Extensions(Intel MPX) x86, x CPU skylake 2015 Intel Software Development Emulator 本資料に登場する Intel は Intel Corp. の登録"

あいぞうすみだ
5 years ago
Views:

1 Monthly Research Intel Memory Protection Extensions Ver

2 Intel Memory Protection Extensions(Intel MPX) x86, x CPU skylake 2015 Intel Software Development Emulator 本資料に登場する Intel は Intel Corp. の登録商標または商標です 2

3 Intel MPX Code Instrumentation 1. GCC code instrumentation 2. Linux Intel MPX 0xffffffff. int A[4]; A[3] = 0; // Regular access A[4] = 0; // Illegal access OK A[0] A[1] A[2] A array members Violation A[3] Not A member Stack 0x

4 4 FFRI,Inc. Intel Memory Protection Extensions (Intel MPX)

5 Intel MPX CPU 0f mpx CPU nop bound paging CALL, RET, JMP Jcc bounds & VMX, TSX 5

6 New Registers BND0-3 Bounds registers 128bit 64bit BNDCFGU Bound Paging Ring3 BNDCFGS Bound Paging Ring0-2 BNDSTATUS Bound Paging 6

7 7 FFRI,Inc. Bound Paging index Bounds Bound Directory (4MB - 32bit, 2GB - 64bit) Bound Directory Entries Bound Directory Entries Linear Address of pointer (LAp) Bound Table (16KB - 32bit, 4MB - 64bit) Bound Table Entries Bound Table Entries Bound Table Entry (16Byte - 32bit, 32Byte - 64bit) DWORD Reserved DWORD Pointer Value DWORD Upper Bound DWORD Lower Bound

8 BND BNDMK bounds BNDCL bounds bounds BNDCU, BNDCN bounds bounds BNDMOV bounds BNDLDX bounds BNDSTX bounds 8

9 9 FFRI,Inc. (1) // スタックベースから配列が確保されていると仮定 ; int A[100] from RBP // RAX に配列のベースアドレスを格納 LEA RAX, [RBP+offset] // BND0 レジスタの Lower bound(0-63bit) に RAX のアドレスを格納 // 同じく upper bound(127-64bit) に (RAX+399) の値を設定 BNDMK BND0, [RAX+399]

10 10 FFRI,Inc. (2) //32bit integer な RBX の値を RAX の示すアドレス ( バッファ ) に格納するとき // バッファの境界は BND0 に設定済みとする BNDCL BND0, [RAX] ; 下限のチェック BNDCU BND0, [RAX+3] ; 上限のチェック MOV Dword ptr [RAX], RBX; もし BNDCL や BNDCU で境界を越えた場合 BNDSTATUS にエラーコードを設定し例外 #BR を発生させる

11 BR Error Code BNDSTATUS 0-1bit 00b NO Intel MPX exception 01b Bounds violation BNDCL, BNDLU, BNDCN 10b Invalid bound directory entry BNDLDX BNDSTX Bound directory entry BNDSTATUS 127-2bit 11b - reserved 11

12 12 FFRI,Inc. Intel MPX Support in GCC Compiler

13 GCC Intel MPX code instrumentation -f mpx Code Instrumentation を実施対象コードコンパイルオブジェクトリンカ実行ファイル 13

14 GCC -f mpx Code Instrumentation bounds Bounds table Bounds table 14

15 15 FFRI,Inc. Memory accesses instrumentation p[i]=0; GIMPLE p[i] = 0; Instrumentation <bb 2>: _2 = (long unsigned int) i_1(d); _3 = _2 * 4; _6 = p_4(d) + _3; builtin_ia32_bndcl ( bounds_of_p_5, _6); _8 = _6 + 3; builtin_ia32_bndcu ( bounds_of_p_5, _8); *_6 = 0; Reference:

16 16 FFRI,Inc. Intel MPX in Linux Kernel

17 Linux kernel Intel MPX Linux 3.19 Intel MPX Bounds Table MPX signal Bound Table prctl Bounds Table / 17

18 Bound Table Bounds Table 2G BNDSTX Bound Table VM_MPX do_munmap() Bounds Table free 18

19 siginfo _sigfault bounds /* SIGILL, SIGFPE, SIGSEGV, SIGBUS */ struct { void user *_addr; /* faulting insn/memory ref. */ #ifdef ARCH_SI_TRAPNO int _trapno; /* TRAP # which caused the signal */ #endif short _addr_lsb; /* LSB of the reported address */ struct { void user *_lower; void user *_upper; } _addr_bnd; } _sigfault; in include/uapi/asm-generic/siginfo.h in Linux kernel source (3.19) 1 19

20 software fault isolation runtime code instrumentation 20

21 21 FFRI,Inc. Intel Architecture Instruction Set Extensions Programming Reference Section 9 Version OCTOBER 2014 Intel Memory Protection Extensions (Intel MPX) support in the GCC compiler Documentations/x86/intel-mpx.txt in Linux kernel 3.19

22 Contact Information research feedback@ffri.jp Twitter 22

スライド 1

スライド 1 Monthly Research 固定アドレスのポインタによる ASLR バイパスの理解株式会社 FFRI http://www.ffri.jp Ver 2.00.01 1 MS13-063 マイクロソフトが 2013 年 8 月に公開したセキュリティパッチ ASLR セキュリティ機能のバイパスの脆弱性 (CVE-2013-2556) の対策を含む今回はこの脆弱性の問題点とパッチによる変更点を調査