Dois CVEs de Segurança de Memória
no Base64 do AWS SDK for C++

Contexto

O AWS SDK for C++ é a biblioteca cliente pela qual aplicações C++ conversam com os serviços da AWS, e a decodificação Base64 fica em um caminho que praticamente toda aplicação desse tipo exercita: é assim que payloads binários, assinaturas e respostas de serviço trafegam sobre protocolos de texto. Isso faz do decodificador um trecho de código de parsing que rotineiramente processa entradas influenciadas por um atacante, em uma linguagem que não verifica limites por conta própria.

O decodificador em questão era escrito à mão, em vez de delegado a uma implementação já endurecida. Decodificadores escritos à mão são exatamente o tipo de código em que a aritmética de tamanho falha silenciosamente: o buffer é dimensionado por um cálculo, o laço de escrita é limitado por outro, e os dois concordam justamente nas entradas que alguém pensou em testar.

Abordagem

Analisamos o decodificador com o ESBMC, nosso verificador de modelos de software, que detecta automaticamente, ou prova a ausência de, erros em tempo de execução como estouros de buffer em programas C++. Em vez de testar strings individuais, fornecemos entradas simbólicas: o decodificador foi executado sobre todas as entradas até um dado limite de uma só vez, e o solucionador foi consultado sobre se alguma delas poderia provocar uma violação de segurança de memória.

É essa a diferença que importou aqui. Um fuzzer ou uma suíte de testes unitários amostra o espaço de entradas e relata o que por acaso atingiu; a verificação limitada de modelos raciocina sobre todo o espaço até o limite e retorna um contraexemplo concreto ou estabelece que nenhum existe. Os contraexemplos produzidos pelo ESBMC eram strings de entrada exatas, o que tornou os relatos diretamente acionáveis para a equipe de segurança da AWS.

Resultados

Se você usa o SDK

Atualize para o AWS SDK for C++ 1.11.862 ou posterior. Como a correção move o tratamento de Base64 para o AWS Common Runtime, apenas subir a versão nem sempre basta: se você compila o SDK a partir do código-fonte ou o linka estaticamente, confirme que a sua build realmente incorpora a dependência aws-crt-cpp atualizada, em vez de resolver para uma cópia fixada ou vendorizada da antiga.

O que isso significa

Rotinas de parsing e decodificação em C++ de produção são pequenas, autocontidas e intensamente exercitadas, que é precisamente o perfil que a verificação limitada de modelos trata bem. Um decodificador desse tamanho pode ser analisado exaustivamente até um limite útil no tempo que se leva para escrever um punhado de testes unitários, e a saída é um contraexemplo concreto ou uma prova de que nenhum existe abaixo do limite. Para equipes que entregam C++ lidando com bytes não confiáveis, esse é um instrumento mais barato e mais preciso do que acrescentar mais uma amostra do espaço de entradas a uma suíte de testes.