기술 요약: TinyGo 에서 gc 컴파일러로: Zorya 의 컨콜릭 프레임워크를 실제 Go 바이너리로 확장

문제 제기

표준 gc 컴파일러로 컴파일된 Go 바이너리의 보안 분석은 여전히 중요한 과제로 남아 있습니다. TinyGo 로 컴파일된 바이너리 (단일 스레드 실행 파일과 최소한의 런타임을 생성) 와 달리, gc 로 컴파일된 바이너리는 여러 OS 스레드 간에 고루틴, 가비지 컬렉션, 선점형 스케줄링을 관리하는 복잡한 런타임을 활용합니다. 기존 심볼릭 실행 도구들 (예: KLEE, angr, Radius2) 은 주로 C/C++ 를 위해 설계되었으며, Go 가 완전히 컴파일되지 않는 LLVM 중간 표현 (IR) 에 의존합니다. 또한, 이러한 도구들은 협력적/비동기적 선점, 고루틴 스케줄링, 메모리 매핑 VDSO 함수와 같은 Go 특유의 런타임 메커니즘을 모델링하지 못해 실제 운영 환경의 Go 바이너리에 대해 비효율적입니다. Zorya 프레임워크의 이전 버전들은 TinyGo 바이너리에만 국한되어 있어, 실제 세계의 멀티스레드 Go 애플리케이션 분석에 공백이 존재했습니다.

방법론

본 논문은 컴파일된 바이너리를 Ghidra 의 P-Code 중간 표현으로 리프트 (lift) 하는 컨콜릭 실행 프레임워크인 Zorya의 확장을 제시합니다. 이 확장은 세 가지 주요 기술 메커니즘을 통해 멀티스레드 gc 컴파일 바이너리 분석을 가능하게 합니다:

1. 멀티스레드 상태 복원 및 스케줄링:

   • Zorya 는 초기화 시 gdb 덤프에서 모든 OS 스레드의 상태를 복원하여 레지스터 상태, 스레드 로컬 스토리지 (TLS) 베이스, 백트레이스를 포착합니다.
   • 스레드는 (메인 스레드, 시스템 모니터, 대기 중 등) 분류되어 스케줄링을 용이하게 합니다.
   • 프레임워크는 런타임 선점을 무력화하고 함수 모드 분석을 위해 "메인 전용" 스케줄링 정책을 채택하여 컨콜릭 실행을 메인 스레드로 제한함으로써 가비지 컬렉션이나 시스템 모니터로 인한 중단을 방지합니다. 이를 통해 사용자 수준 함수의 지속적인 탐색이 가능해집니다.

2. 복제 시 쓰기 (CoW) 시맨틱스를 활용한 오버레이 경로 분석:

   • 경로 폭발 문제를 해결하고 전체 상태를 포크하지 않고 (이는 gc 바이너리의 경우 1 GiB 를 초과할 수 있음) 취하지 않은 분기에 대해 추론하기 위해, Zorya 는 오버레이 메커니즘을 구현합니다.
   • 조건부 분기가 추적된 심볼릭 변수를 포함할 때, 취하지 않은 경로를 위해 경량 오버레이가 생성됩니다. 읽기 작업은 먼저 오버레이를 참조하고 미스 시 기본 상태로 되돌아가며, 쓰기 작업은 오버레이에만 전적으로 수행됩니다.
   • 이 오버레이는 제한된 수의 명령어 (기본값 $N=15$) 를 실행한 후 폐기되어, 구체적인 트레이스가 취하지 않은 경로에서의 취약점을 탐지할 수 있게 합니다.

3. 분석기 루틴을 통한 취약점 탐지:

   • 프레임워크는 gdb 덤프에서 나온 구체적인 값과 Z3 SMT 솔버가 관리하는 심볼릭 표현식을 모두 사용하여 명령어를 실행합니다.
   • "분석기 루틴"은 각 명령어에서 널 포인터 역참조, 정수 오버플로우, 0 으로 나누기 등의 취약점 패턴을 확인합니다.
   • gc 바이너리의 경우, 시스템은 명시적 패닉 호출을 locating 하기 위한 AST 탐색과 런타임 패닉을 유발하지 않는 침묵형 취약점을 탐지하기 위한 오버레이 실행을 모두 활용합니다.

주요 기여

• gc 바이너리 확장: 프레임워크가 표준 Go 컴파일러가 생성한 멀티스레드 바이너리 분석을 위해 확장되어, 연구 도구와 실제 운영 환경의 Go 소프트웨어 간의 격차를 해소했습니다.
• 실제 세계 취약점 데이터셋: 저자들은 Kubernetes, Go-Ethereum, CoreDNS 를 포함한 실제 운영 프로젝트에서 11 개의 실제 취약점 코퍼스를 선별하였으며, 재현 워크플로우와 유발 입력을 포함합니다.
• 비교 평가: Zorya 는 7 개의 최신 도구 (3 개의 정적 분석기, 2 개의 퍼저, 2 개의 바이너리 수준 심볼릭 실행기) 와 비교 평가되었습니다.
• 침묵형 취약점 탐지: 프레임워크는 수동으로 작성된 오라클 없이 런타임 패닉을 유발하지 않는 취약점, 특히 침묵형 정수 오버플로우를 성공적으로 탐지합니다.

결과

평가 는 널 포인터 역참조, 정수 오버플로우, 인덱스 범위 초과라는 세 가지 범주에 걸친 11 개의 실제 세계 취약점에 대해 수행되었습니다.

• 탐지율: Zorya 는 11 개 취약점 중 7 개를 탐지했습니다.
  • 4 개는 구체적인 (취해진) 경로에서 분석기 루틴에 의해 포착되었습니다.
  • 3 개는 취하지 않은 분기에서 AST 패닉 도달성 분석을 통해 식별되었습니다.
  • 2 개의 추가 발견은 취하지 않은 경로에서 오버레이 실행을 통해 표면화되었습니다 (15 명령어 깊이 제한 내에서 탐지됨).
• 고유 탐지: Zorya 는 Go-Ethereum(v1.6.0) 의 memoryGasCost 함수에서 발생한 침묵형 정수 오버플로우를 탐지한 유일한 도구였습니다. 이 버그는 Go 의 부호 없는 산술에서 조용히 감싸지는 (wrap) 곱셈을 포함하여, 공격자가 거의 제로에 가까운 가스로 막대한 메모리를 할당할 수 있게 합니다. 수동으로 작성된 오라클 없이 이 버그를 찾은 다른 평가 도구는 없었습니다.
• 도구 비교:
  • 정적 분석기 (staticcheck, gosec, nilaway): 11 개 버그 중 0 개를 탐지했습니다. gosec 는 동형 산술 오버플로우를 놓쳤으며, nilaway 는 종속성 해결 문제로 인해 Kubernetes 패키지에서 실패했습니다.
  • 퍼저 (go test -fuzz, GoLibAFL): 11 개 버그 중 5 개 (Zorya 가 runtime.memmove 의 심볼릭 실행 중 리소스 고갈로 놓친 kube-sm-2025 포함) 를 탐지했습니다. 퍼저는 더 빠르지만 (평균 약 0.18 초에서 7 초), 수동으로 작성된 하네스가 필요하며 충돌을 유발하지 않는 침묵형 취약점을 놓쳤습니다.
  • 기타 심볼릭 실행기 (BINSEC, SymQEMU): Go 런타임 원시 연산에 대한 지원 부족으로 인해 11 개 버그 중 0 개를 탐지했습니다.
• 성능: Zorya 는 탐지당 평균 16.5 분이 소요되어 퍼징보다 현저히 느리지만, 전체 명령어 수준 실행 트레이스를 제공하며 하네스 없이 완전히 자동으로 작동합니다.

중요성 및 주장

본 논문은 Zorya 가 Go 보안 환경에서 중요한 공백을 해소한다고 주장합니다. 정적 분석기는 프로그램 특유의 산술 및 별칭 (aliasing) 에 대해 추론하지 못하며, 퍼저는 수동 하네스가 필요하고 충돌하지 않는 버그를 놓치는 반면, Zorya 는 침묵형 취약점을 탐지할 수 있는 완전 자동화된 바이너리 수준 분석을 제공합니다.

저자들은 Zorya 를 Go 바이너리를 위해 정밀한 오버레이 탐색, 멀티스레드 초기 상태 복원, 그리고 침묵형 오버플로우 탐지를 결합한 도구로 위치시킵니다. 이 연구는 컨콜릭 실행이 표준 Go 컴파일러의 복잡하고 멀티스레드인 런타임에 적응되어 다른 평가 도구들에는 보이지 않는 취약점 (예: 침묵형 정수 오버플로우) 을 탐지할 수 있음을 보여줍니다. 논문은 Zorya 가 퍼징보다 느리지만, 정확한 명령어 수준 트레이스를 제공하고 충돌하지 않는 버그를 탐지할 수 있는 능력으로 인해 소프트웨어 보안 엔지니어링 툴킷에 가치 있는 추가 요소가 된다고 결론지었습니다.