技術的サマリー：TinyGo から gc コンパイラへ：Zorya のコンコリックフレームワークを実世界の Go バイナリへ拡張

問題定義

標準の gc コンパイラでコンパイルされた Go バイナリのセキュリティ分析は、依然として重大な課題です。TinyGo でコンパイルされたバイナリ（単一スレッドの実行可能ファイルで最小限のランタイムを生成するもの）とは異なり、gc コンパイルバイナリは、複数の OS スレッドにわたる goroutine、ガベージコレクション、およびプリエンプティブなスケジューリングを管理する複雑なランタイムを利用します。既存のシンボリック実行ツール（KLEE、angr、Radius2 など）は主に C/C++ 向けに設計されており、Go が完全にコンパイルされない LLVM 中間表現（IR）に依存しています。さらに、これらのツールは、協調的/非同期プリエンプション、goroutine スケジューリング、メモリマップド VDSO 関数などの Go 固有のランタイム機構をモデル化できず、本番環境の Go バイナリに対して効果的ではありません。Zorya フレームワークの以前のバージョンは TinyGo バイナリに限定されており、実世界のマルチスレッド Go アプリケーションの分析におけるギャップが残されていました。

手法

本論文は、コンパイルされたバイナリを Ghidra の P-Code 中間表現にリフトするコンコリック実行フレームワークであるZoryaの拡張を提示します。この拡張は、以下の 3 つの主要な技術的メカニズムを通じて、マルチスレッドの gc コンパイルバイナリの分析を可能にします。

1. マルチスレッド状態の復元とスケジューリング:

   • Zorya は初期化時に gdb ダンプからすべての OS スレッドの状態を復元し、レジスタ状態、スレッドローカルストレージ（TLS）ベース、およびバックトレースを捕捉します。
   • スレッドは（メインスレッド、システムモニター、待機中など）分類され、スケジューリングを容易にします。
   • フレームワークはランタイムプリエンプションを無効化し、関数モード分析に対して「メイン専用」のスケジューリングポリシーを採用します。これにより、ガベージコレクションやシステムモニターからの中断を避けて、メインスレッドに限定したコンコリック実行が可能となり、ユーザーレベルの関数の継続的な探索を可能にします。

2. コピーオンライト（CoW）セマンティクスを備えたオーバーレイパス分析:

   • パス爆発に対処し、状態全体をフォークすることなく（gc バイナリでは 1 GiB を超える可能性があります）未実行の分岐を推論するために、Zorya はオーバーレイ機構を実装しています。
   • 条件分岐が追跡されたシンボリック変数を含む場合、未実行パスに対して軽量なオーバーレイが作成されます。読み取りはまずオーバーレイを参照し、ヒットしない場合は基本状態にフォールバックします。書き込みはオーバーレイにのみ行われます。
   • このオーバーレイは、既定で $N=15$ の命令数を制限して実行された後破棄され、コンクリートなトレースによって実行されなかったパス上の脆弱性を検出することを可能にします。

3. アナライザルーチンによる脆弱性検出:

   • フレームワークは、gdb ダンプからの具体的な値と Z3 SMT ソルバーによって管理されるシンボリック表現の両方を使用して命令を実行します。
   • 「アナライザルーチン」は、各命令において、ヌルポインタの逆参照、整数オーバーフロー、ゼロ除算などの脆弱性パターンをチェックします。
   • gc バイナリの場合、システムは明示的なパニック呼び出しの位置特定のための AST 探索と、ランタイムパニックをトリガーしないサイレントな脆弱性の検出のためのオーバーレイ実行の両方を活用します。

主な貢献

• gc バイナリへの拡張: フレームワークは、標準 Go コンパイラによって生成されたマルチスレッドバイナリの分析に拡張され、研究ツールと本番環境の Go ソフトウェア間のギャップを埋めました。
• 実世界の脆弱性データセット: 著者は、Kubernetes、Go-Ethereum、CoreDNS などを含む本番プロジェクトからの 11 の実世界の脆弱性のコーパスを編纂し、再現ワークフローとトリガー入力を含めました。
• 比較評価: Zorya は、7 つの最先端ツール（3 つの静的アナライザ、2 つのファズャ、2 つのバイナリレベルのシンボリック実行エンジン）に対して評価されました。
• サイレント脆弱性の検出: フレームワークは、手書きのオラクルを必要とすることなく、ランタイムパニックをトリガーしない脆弱性、具体的にはサイレントな整数オーバーフローを正常に検出しました。

結果

評価は、ヌルポインタ逆参照、整数オーバーフロー、インデックス範囲外という 3 つのクラスにわたる 11 の実世界の脆弱性に対して行われました。

• 検出率: Zorya は 11 の脆弱性のうち7 つを検出しました。
  • 4 つは、コンクリート（実行された）パス上でアナライザルーチンによって捕捉されました。
  • 3 つは、未実行分岐上での AST パンクリーチアビリティによって特定されました。
  • 2 つの副次的な発見は、未実行パス上でのオーバーレイ実行（15 命令の深さ制限内で検出）によって表面化しました。
• 独自の検出: Zorya は、Go-Ethereum (v1.6.0) の memoryGasCost 関数におけるサイレントな整数オーバーフローを検出した唯一のツールでした。このバグは、Go の符号なし演算で静かにラップする乗算を含み、攻撃者がほぼゼロのガスで莫大なメモリを割り当てられるようにします。手書きのオラクルなしでこのバグを検出した評価されたツールはありませんでした。
• ツール比較:
  • 静的アナライザ（staticcheck, gosec, nilaway）: 11 のバグのうち 0 個を検出しました。gosec は同種演算オーバーフローを見落とし、nilaway は依存関係解決の問題により Kubernetes パッケージで失敗しました。
  • ファズャ（go test -fuzz, GoLibAFL）: 11 のバグのうち 5 個（Zorya が runtime.memmove のシンボリック実行におけるリソース枯渇により見落とした kube-sm-2025 を含む）を検出しました。ファズャは高速（平均約 0.18 秒から 7 秒）でしたが、手書きのハーネスを必要とし、クラッシュしないサイレントな脆弱性を見逃しました。
  • 他のシンボリック実行エンジン（BINSEC, SymQEMU）: Go ランタイムプリミティブのサポート不足を主な理由として、11 のバグのうち 0 個を検出しました。
• パフォーマンス: Zorya の検出あたりの平均時間は 16.5 分であり、ファズャに比べて著しく遅いですが、完全な命令レベルの実行トレースを提供し、ハーネスなしで完全に自動的に動作します。

意義と主張

本論文は、Zorya が Go のセキュリティ分野における重要なギャップに対処していると主張しています。静的アナライザはプログラム固有の算術とエイリアシングを推論できず、ファズャは手書きのハーネスを必要とし、クラッシュしないバグを見逃すのに対し、Zorya はサイレントな脆弱性を検出可能な完全自動のバイナリレベル分析を提供します。

著者は、Zorya を、Go バイナリに特化した微細なオーバーレイ探索、マルチスレッド初期状態の復元、およびサイレントオーバーフロー検出を組み合わせたツールとして位置付けています。この研究は、コンコリック実行が標準 Go コンパイラの複雑なマルチスレッドランタイムに適応可能であることを実証し、他の評価ツールには見えない脆弱性（サイレントな整数オーバーフローなど）の検出を可能にしました。論文は、Zorya はファズングよりも遅いものの、正確な命令レベルのトレースを提供し、クラッシュしないバグを検出する能力により、ソフトウェアセキュリティエンジニアリングのツールキットに貴重な追加をもたらすと結論付けています。