Integer Overflow

Integer Overflow を考慮に入れないと、論理エラーまたは Buffer Overflow を引き起こす可能性があります。

整数オーバーフロー エラーは、プログラムが算術演算の結果、データ型の最大値よりも大きいか、最小値よりも小さい量が得られるという事実を考慮していない場合に発生します。これらのエラーは、ユーザーの入力と、符号付きと符号なしの値の間の暗黙の変換が交差する、メモリ割り当て関数の問題をしばしば引き起こします。攻撃者がプログラムにメモリを過小に割り当てさせたり、メモリ操作で符号付きの値を符号なしの値として解釈させたりできる場合、プログラムがバッファオーバーフローの危険にさらされる可能性があります。

例 1: OpenSSH 3.3 から引用した次のコードは、Integer Overflow の典型的な例です。

nresp = packet_get_int();
if (nresp > 0) {
 response = xmalloc(nresp*sizeof(char*));
 for (i = 0; i < nresp; i++)
  response[i] = packet_get_string(NULL);
}

nresp の値が 1073741824 であり、sizeof(char*) の通常の値が 4 の場合、処理 nresp*sizeof(char*) の結果はオーバーフローし、xmalloc() の引数は 0 になります。大部分の malloc() 実装では 0 バイトのバッファ割り当ても可能ですが、その後のループの反復処理でヒープ バッファ response のオーバーフローを引き起こします。

例 2: この例は、一連の変数長構造体に含まれるユーザー入力を処理しています。入力の先頭 2 バイトは、処理する構造体のサイズを記述しています。

 char* processNext(char* strm) {
 char buf[512];
 short len = *(short*) strm;
 strm += sizeof(len);
 if (len <= 512) {
  memcpy(buf, strm, len);
  process(buf);
  return strm + len;
 } else {
  return -1;
 }
}

プログラマにより、構造体サイズの上限が設定されています。入力が 512 より大きい場合、処理は実行されません。問題は、len が符号付き整数であることです。構造体の最大長チェックは符号付き整数で行われますが、memcpy() のコールのために len は符号なしの整数に変換されます。len が負の場合、構造体のサイズは適切であるように見えますが (if 分岐が実行されます)、memcpy() によりコピーされたメモリ量は巨大になり、攻撃者は strm のデータでスタックをオーバーフローさせることが可能になります。