The Linux IOCTL Census: A Source-Derived Database of the Linux Kernel Control-Code Surface

Technische Samenvatting: De Linux IOCTL Census

Probleemstelling
De ioctl system call dient als de primaire interface voor device control in Linux, waardoor gebruikersprogramma's numerieke commando-codes en argumentbuffers naar kernel drivers kunnen sturen. Hoewel essentieel voor hardwareconfiguratie en statusbeheer, vertegenwoordigt deze interface een enorm, heterogeen en slecht gecatalogiseerd lokaal aanvalsoppervlak. Drivers definiëren duizenden unieke commando's, die vaak argumenten parsen in de kernel-context zonder uniforme validatie. Een handler die een niet-gevalideerde argumentlengte vertrouwt, kan leiden tot out-of-bounds geheugenlezingen of -schrijfacties.

Huidige benaderingen om dit oppervlak te analyseren zijn gefragmenteerd:

• Dynamische Scanners (bijv. syzkaller): Effectief in het vinden van runtime-bugs en race conditions, maar beperkt tot de specifieke commando-ruimte die ze expliciet wordt gevraagd te exerceren. Ze rapporteren getriggerde bugs, niet de onverkende commando-ruimte.
• Handmatige Curatie: Lijsten zoals de unprivileged-reach LPE-catalogus en threat-model documentatie bestaan, maar zijn handmatig bijgehouden proza, geen systematische, querybare enumeraties van de gedecodeerde commando-ruimte.

Er is een gebrek aan een persistente, uit de bron afgeleide inventaris die het volledige statische commando-oppervlak in kaart brengt, inclusief dispatchers, gedecodeerde commando's, handlers en permission gates.

Methodologie: Extract-Gate-Rank
De auteurs presenteren een deterministische pipeline, Extract-Gate-Rank, die de Linux kernel broncode leest om een relationele database van het ioctl oppervlak te materialiseren. Het proces werkt op een allmodconfig build (x86_64) die 878 modules over 169 subtrees beslaat.

1. Extract:

   • Maakt gebruik van een libclang-afgeleide kennisgraaf uit de kernel broncode om ioctl dispatchers te identificeren (functies gebonden aan unlocked_ioctl, compat_ioctl, of proc_ops.proc_ioctl).
   • Wandelt door call closures naar per-commando handler bodies.
   • Decodeert Commando-codes: Een resolver breidt _IOC macros uit tegen UAPI headers om 32-bit commando-codes te decoderen naar vier velden: richting, grootte, magic byte, en ordinal.
   • Identificeert Sinks en Gates: Registreert gecontroleerde-input sinks (bijv. copy_from_user) binnen een vaste call-hop window en permission gates (capability checks, LSM hooks, f_mode checks).
   • Sanitatie Heuristiek: Markeert een sink als "unsanitized" als er geen voorafgaande harde bounds check bestaat in dezelfde functie bronvolgorde. Dit is een structurele proxy, geen control-flow bewijs.

2. Gate:

   • Past een threat-model reachability filter toe als een querybare kolom.
   • Een module wordt gemarkeerd als capability_ungated als het ioctl pad een harde init-namespace capability gate mist (bijv. CAP_SYS_ADMIN).
   • Dit fungeert als een noodzakelijke conditie upper bound op unprivileged reach, niet als een classifier van werkelijke node-openability. Het sluit staging drivers en debugfs paden uit conform de kernel documentatie.

3. Rank:

   • Genereert relationele views over de store, waarbij prioriteit wordt gegeven aan capability-ungated dispatchers met unsanitized sinks.
   • Bevat een cross-module view die gedeelde commando-codes (type, ordinal, access) groepeert over verschillende drivers.
   • Een optionele LLM enrichment layer is opgenomen voor triage maar wordt buiten het kritieke pad gehouden en in een achtergehouden tier geplaatst.

Belangrijkste Resultaten
De census beslaat de x86_64 allmodconfig build (84% van de in-tree source files) en bevat een secundaire arm64 build voor validatie.

• Schaal: De analyse heeft 586 ioctl dispatch entry points in 337 modules hersteld, waarbij 1.289 unieke _IOC commando-codes zijn gedecodeerd.
• Sinks en Gates: Het identificeerde 3.583 gecontroleerde-input sinks en 1.298 permission gates.
• Bereikbaarheid: De threat-model filter sloot 50 modules uit achter harde capability gates, waardoor 281 modules als de capability-ungated upper bound op unprivileged reach werden toegelaten.
• Architectuur Dekking: Een tweede build voor arm64 voegde slechts één unieke module toe (Apple adp_drv) en geen nieuwe commando-codes, wat aangeeft dat x86_64 99,7% van de ioctl-dragende modules dekt.
• Commando Delen: Gedeelde commando-patronen (bijv. watchdog WDIOC_* commando's) komen bij meerdere drivers terug, wat suggereert dat een kwetsbaarheid in een gedeeld patroon vele modules tegelijkertijd kan beïnvloeden.
• Capability Concentratie: Permission gates worden gedomineerd door CAP_SYS_ADMIN (512 occurrences), een capability die de kernel threat model expliciet als "out of model" behandelt, wat de in-scope aanvalsoppervlakte verder verkleint.

Backtest Validatie
De auteurs hebben de census gevalideerd tegen 22 recente in-tree ioctl CVE's:

• Dekking: Alle 22 CVE's vielen binnen gedekte subtrees, waardoor coverage gaps als bron van fouten worden geëlimineerd.
• Herstel: De dispatcher-recovery pass vond de kwetsbare handler voor 7 van de 22 CVE's.
• Missers: De 15 missers waren volledig toe te schrijven aan registratie model beperkingen:
  • 8 gevallen betroffen DRM/V4L2 cores die ops-table dispatch gebruiken (drm_ioctl_desc, v2l2_ioctl_ops) waarbij de core argumenten kopieert voordat ze naar per-commando handlers worden doorgegeven.
  • 3 gevallen betroffen tty line disciplines.
  • 4 gevallen betroffen functies die alleen bereikt worden als callees onder de dispatcher switch, niet de dispatcher zelf.
• Filter Nauwkeurigheid: De filter liet alle 7 gevonden CVE's correct toe. Twee waren "false admits" met betrekking tot node-DAC (Device Access Control) restricties (bijv. pci_endpoint_test), wat de methode correct voorspelt als een beperking omdat het niet de device node permissies analyseert, enkel de capability gates.

Betekenis en Claims
Het artikel positioneert de Linux IOCTL Census als een meting en dataset bijdrage in plaats van een bug-zoekinstrument. De primaire betekenis ligt in:

1. Persistentie en Querybaarheid: Het transformeert het ioctl oppervlak van een tijdelijke lijst van bugs naar een persistente, querybare relationele store. Dit stelt auditors in staat om structurele vragen te stellen (bijv. "Welke modules delen deze commando-code?") die bug-lijsten niet kunnen beantwoorden.
2. Threat-Model Integratie: Het encodeert de gedocumenteerde kernel threat model direct in de data schema, waardoor tekstuele security boundaries worden omgezet in querybare filters.
3. Complementariteit: Het complementeert dynamische fuzzing door de volledige statische commando-ruimte te enumereren, inclusclusief commando's die mogelijk geen harnesses of beschrijvingen hebben, en stuurt daarmee dynamische tools naar onverkende gebieden.
4. Cross-OS Schema: De dataset deelt een schema met de begeleidende Windows IOCTL Census, wat cross-platform queries mogelijk maakt.

Beperkingen
De auteurs stellen expliciet enkele grenzen vast:

• Bereikbaarheid: De "user-reachable" count is een upper bound gebaseerd op capability gates, niet een bewijs van node-openability (DAC).
• Sanitatie: De "unsanitized" count is een heuristische proxy gebaseerd op bronvolgorde, niet een formeel bewijs van veiligheid.
• Dekking: Het is beperkt tot wat een allmodconfig build compileert; andere architecturen en drivers die niet gelijktijdig ingeschakeld kunnen worden, zijn uitgesloten.
• Registratie Model: Het huidige model mist handlers die geregistreerd zijn via ops-tables (DRM, V4L2, ALSA), tty line disciplines, en helper functies onder de dispatcher.

De dataset wordt vrijgegeven in twee tiers: een publieke structurele tier (modules, dispatchers, codes, gates) onder een open licentie, en een achtergehouden targeting tier (specifieke sink locaties, enrichment verdicts, en gerankte unprivileged surface) om dubbel gebruik voor exploitatie te voorkomen terwijl geautoriseerd onderzoek wordt ondersteund.