MulCovFuzz: A Multi-Component Coverage-Guided Greybox Fuzzer for 5G Protocol Testing

1. 문제 정의 (Problem Statement)

• 5G 네트워크의 보안 위협: 5G 네트워크는 소프트웨어 정의 네트워킹 (SDN), 네트워크 기능 가상화 (NFV), 서비스 기반 아키텍처 (SBA) 등 복잡한 아키텍처를 도입하여 공격 표면이 크게 확대되었습니다. 특히 C/C++ 로 구현된 메모리 안전하지 않은 언어와 3GPP 규격의 복잡성으로 인해 취약점 발생 가능성이 높습니다.
• 기존 테스트 방법의 한계:
  • 블랙박스 (Black-box) 퍼징: 기존 5G 보안 테스트는 주로 시스템 응답 (Response) 만을 기반으로 하는 블랙박스 퍼징에 의존했습니다. 이는 내부 프로그램 상태나 코드 커버리지 정보를 관찰할 수 없어, 깊은 논리 오류나 복잡한 상호작용을 유발하는 취약점을 발견하는 데 한계가 있습니다.
  • 단일 구성 요소 기반 그레이박스 퍼징: 기존 그레이박스 퍼징 도구 (예: AFLNet) 는 테스트 대상 (SUT) 인 단일 구성 요소 (예: AMF) 의 코드 커버리지만 모니터링합니다. 그러나 5G 는 AMF, SMF, NRF, UPF 등 여러 구성 요소가 밀접하게 상호작용하는 분산 시스템이므로, 단일 구성 요소의 커버리지만으로는 전체 시스템의 상태 공간 (State Space) 을 충분히 탐색할 수 없습니다.
  • 상호작용 의존성 간과: 특정 경로 (예: SMF 의 비활성 세션 상태에 따른 AMF 의 오류 처리) 는 다른 구성 요소의 내부 상태와 정확히 연동되어야만 실행되는데, 기존 도구는 이러한 다중 구성 요소 간의 상호작용을 고려하지 못해 해당 경로를 놓치는 경우가 많습니다.

2. 방법론 (Methodology)

논문은 MulCovFuzz라는 새로운 도구를 제안하며, 이는 5G 핵심망 (5GC) 을 대상으로 하는 다중 구성 요소 커버리지 유도 (Multi-Component Coverage-Guided) 그레이박스 퍼징 프레임워크입니다.

가. 전체 아키텍처 및 피드백 메커니즘

MulCovFuzz 는 5G 코어 네트워크의 여러 분산 구성 요소 (AMF, SMF, NRF, UPF 등) 와 상호작용하며 다음 세 가지 피드백을 수집합니다.

1. 메시지 피드백: N2 인터페이스를 통해 AMF 에 테스트 입력을 전송하고 응답을 수신.
2. 커버리지 피드백: AMF 뿐만 아니라 다른 관련 구성 요소들의 코드 커버리지 정보를 수집.
3. 신호 피드백: AMF 프로세스의 런타임 상태 (크래시, 비정상 종료 등) 를 모니터링.

나. 다중 구성 요소 커버리지 수집 모듈 (MCCM)

5G 의 분산 특성과 지연 시간을 고려하여 설계된 모듈로, 다음과 같은 구성 요소로 이루어집니다.

• 인스트루멘테이션 (Instrumentation): LLVM 기반의 afl-clang-fast 도구를 사용하여 AMF, SMF, UPF, NRF 등 주요 네트워크 기능 (NF) 들에 인스트루멘테이션을 적용합니다. 각 구성 요소는 실행 중 기본 블록 (Basic Block) 커버리지를 공유 메모리 (SHM) 에 기록합니다.
• 컨트롤러 (Controller) & 컬렉터 (Collector):
  • fuzzer 가 AMF 에서 새로운 커버리지를 발견하면, 컨트롤러가 원격 컬렉터들에게 다른 구성 요소들의 커버리지 데이터를 요청합니다.
  • 컬렉터는 해당 컨테이너 내의 SHM 에서 커버리지 비트맵을 읽어와 컨트롤러로 전송합니다.
  • 이 비동기적 경량 메커니즘을 통해 퍼징 처리량 (Throughput) 을 저하시키지 않으면서도 전체 시스템의 커버리지를 수집합니다.
• 데이터 표현: 각 구성 요소의 엣지 (Edge) 히트 횟수를 AFL 방식의 8 단계 로그 버킷 (0~7) 으로 양자화하여 효율적으로 관리합니다.

다. 에너지 할당 및 스코어링 함수 (Scoring Function)

수집된 다중 구성 요소 커버리지 데이터를 기반으로 테스트 시드 (Seed) 에 대한 점수를 계산하여 퍼징 자원을 할당합니다.

• 스코어 공식: $S(t) = w_1 R_c(t) + w_2 R_e(t)$
  • 커버리지 보상 ($R_c$): 모든 인스트루멘트된 채널 (구성 요소) 에서의 커버리지 기여도를 가중치 ($\alpha_i$) 와 함께 합산합니다.
  • 효율성 보상 ($R_e$): 실행 시간 ($T(t)$) 대비 커버리지 획득 효율을 고려합니다.
• 동작 원리: 이 점수를 통해 다중 구성 요소 간의 복잡한 상호작용을 유발하거나 새로운 경로를 발견하는 시드에 더 많은 퍼징 시간 (Energy) 을 할당합니다.

3. 주요 기여 (Key Contributions)

1. 5G 핵심망을 위한 새로운 퍼징 도구: 시스템 응답뿐만 아니라 실시간 코드 커버리지 정보를 기반으로 적응적으로 퍼징 전략을 조정하는 그레이박스 퍼징 도구를 최초로 제안했습니다.
2. 다중 구성 요소 커버리지 수집 메커니즘: 5G 시스템의 여러 구성 요소 (AMF, SMF, NRF, UPF 등) 에서 분리된 커버리지를 수집하고 통합하여, 퍼저가 보낸 패킷이 전체 시스템에 미치는 영향을 정밀하게 추정할 수 있게 했습니다.
3. 다중 커버리지 기반 스코어링 함수: 구성 요소별 커버리지와 효율성을 결합한 새로운 점수 함수를 설계하여, 단순한 로컬 컴포넌트 행동이 아닌 구성 요소 간 상호작용에 의존하는 복잡한 경로를 탐색하도록 유도했습니다.
4. 실제 구현 및 평가: 오픈소스 5G 구현체인 **OpenAirInterface (OAI)**를 대상으로 MulCovFuzz 를 구현하고 평가했습니다.

4. 실험 결과 (Results)

OpenAirInterface (OAI) AMF 구성 요소를 대상으로 24 시간 동안 수행한 실험 결과는 다음과 같습니다.

• 커버리지 향상:
  • 기존 퍼징 도구 (AFLNet 등) 대비 브랜치 커버리지 5.85% 증가, 라인 커버리지 7.17% 증가를 달성했습니다.
  • 특히 AMF 의 오류 처리 및 복잡한 코너 케이스 (Corner Case) 경로에 대한 접근성이 크게 향상되었습니다.
• 구성 요소 간 상호작용 발견:
  • AMF 에서 새로운 경로를 발견하면 NRF, SMF 등 다른 구성 요소에서도 연쇄적으로 새로운 경로가 발견되는 현상이 관찰되었습니다. 이는 단일 구성 요소 퍼징으로는 불가능했던 상호작용 패턴을 포착했음을 의미합니다.
• 취약점 발견 (Crash Discovery):
  • 16% 향상: 24 시간 테스트 기간 동안 AFLNet 대비 **16% 더 많은 고유한 크래시 (Unique Crash)**를 발견했습니다.
  • 제로데이 (Zero-day) 취약점 3 건 발견:
    1. sctp_server.cpp 의 Null Pointer Dereference (NPD): 기존 도구보다 약 10 배 빠르게 발견 (1,937 초 vs 20,961 초).
    2. itti.cpp 의 Uncaught Exception: 24 시간 내 발견 (기존 도구는 발견 실패).
    3. 5gsMobileIdentity.cpp 의 Heap Buffer Overflow (HBO): SUCI 디코더 로직에서 발견 (기존 도구는 발견 실패).
  • 이 중 2 건은 다른 어떤 퍼징 기법으로도 발견되지 않은 새로운 취약점이었습니다.

5. 의의 및 결론 (Significance)

• 차세대 네트워크 보안 테스트의 패러다임 전환: 5G 와 같은 복잡하고 분산된 시스템에서는 단일 구성 요소의 커버리지만으로는 충분하지 않으며, 시스템 전체의 상호작용을 고려한 다중 구성 요소 커버리지 피드백이 필수적임을 입증했습니다.
• 실용적 가치: MulCovFuzz 는 실제 5G 구현체에서 치명적인 보안 취약점 (메모리 손상, 논리 오류 등) 을 효과적으로 찾아내어, 5G 인프라의 신뢰성과 보안을 강화하는 데 기여합니다.
• 확장성: 이 접근 방식은 5G 를 넘어 마이크로서비스 아키텍처, IoT 시스템 등 다른 복잡한 분산 시스템의 보안 테스트에도 적용 가능한 잠재력을 가지고 있습니다.

이 논문은 5G 네트워크의 보안 취약점 발견을 위해 기존 퍼징 기술의 한계를 극복하고, 시스템 아키텍처의 복잡성을 반영한 새로운 테스트 방법론을 제시했다는 점에서 중요한 의의를 가집니다.