Unsafe Native Invoke

El uso inadecuado de los servicios de invocación de plataforma puede provocar que las aplicaciones administradas sean vulnerables a los fallos de seguridad en otros lenguajes.

Se producen errores de invocación nativa poco segura cuando una aplicación administrada utiliza P/Invoke para llamar al código (no administrado) nativo en otro lenguaje de programación.

Ejemplo 1: el siguiente código C# define una clase denominada Echo. La clase declara un método nativo que utiliza C para devolver comandos introducidos en la consola al usuario.

class Echo
{
  [DllImport("mylib.dll")]
  internal static extern void RunEcho();

  static void main(String[] args)
  {
    RunEcho();
  }
}

El siguiente código C define el método nativo implementado en la clase Echo:

#include <stdio.h>

void __stdcall RunEcho()
{
  char* buf = (char*) malloc(64 * sizeof(char));
  gets(buf);
  printf(buf);
}

Como el eco se ha implementado en el código administrado, podría parecer que este es inmune a problemas de memoria, como las vulnerabilidades de buffer overflow. Aunque el entorno administrado protege de forma eficaz las operaciones de memoria, esta protección no se extiende a las vulnerabilidades que se producen en el código nativo al que se accede mediante P/Invoke. A pesar de las protecciones de la memoria ofrecidas por el entorno de tiempo de ejecución administrado, el código nativo de este ejemplo es vulnerable al buffer overflow debido a que utiliza gets(), que no lleva a cabo ninguna comprobación de límites en su entrada. Asimismo, buf se asigna, pero no se libera, por lo que produce una fuga de memoria.

La vulnerabilidad presente en el Example 1 podría detectarse fácilmente a través de una auditoría de código fuente de la implementación del método nativo. Es posible que esta operación no sea factible o posible en función de la disponibilidad del código fuente y la forma en que se ha creado el proyecto, aunque, en la mayoría de los casos, este método es suficiente. Sin embargo, la capacidad para compartir objetos entre los entornos administrado y nativo amplía el riesgo potencial de que se produzcan casos más insidiosos cuando una administración inadecuada de los datos en el código administrado puede provocar vulnerabilidades inesperadas u operaciones que no son seguras en el código nativo, lo que daña las estructuras de datos del código administrado.

Las vulnerabilidades del código nativo al que se accede a través de una aplicación administrada se explotan normalmente del mismo modo que en las aplicaciones escrita en el lenguaje nativo. El único reto que se le plantea al usuario malintencionado en relación con un ataque de este tipo consiste en identificar que la aplicación administrada utiliza código nativo para realizar determinadas operaciones. Esto puede lograrse de diversas formas, incluida la identificación de los comportamientos específicos que a menudo se implementan con el código nativo o explorando una fuga de información del sistema en la aplicación administrada que deje al descubierto su uso de P/Invoke.