Unsafe Native Invoke

プラットフォーム呼び出しサービスを不適切に使用すると、管理対象アプリケーションはその他の言語のセキュリティ課題に脆弱になります。

Unsafe Native Invoke エラーは、管理対象アプリケーションが P/Invoke を使用して別のプログラミング言語で書かれたネイティブ (非管理対象) コードを呼び出すときに発生します。

例 1: 次の C# コードは、Echo という名前のクラスを定義します。このクラスは、コンソールで C 言語を使って入力されたコマンドをユーザーにそのまま伝える、ひとつのネイティブメソッドを宣言します。

class Echo
{
  [DllImport("mylib.dll")]
  internal static extern void RunEcho();

  static void main(String[] args)
  {
    RunEcho();
  }
}

次の C コードは Echo クラスで実装されるネイティブメソッドを定義します。

#include <stdio.h>

void __stdcall RunEcho()
{
  char* buf = (char*) malloc(64 * sizeof(char));
  gets(buf);
  printf(buf);
}

Echo は管理対象コードで実装されるため、Buffer Overflow の脆弱性などのメモリ問題の影響を受けないように思われます。管理対象環境ではメモリ操作は安全に行うことができますが、この保護は P/Invoke を使用してアクセスされるネイティブコードの脆弱性まではカバーできません。管理対象ランタイム環境でメモリが保護されているにもかかわらず、この例のネイティブ コードは入力に対して境界検査を行わない gets() を利用しているため、Buffer Overflow に対して脆弱です。同様に、buf も割り当てられたあと解放されていないので、メモリ リークを起こします。

Example 1 の脆弱性は、ネイティブメソッド実装のソースコード監査で簡単に検出することができます。これはソースコードを利用できるかどうかや、プロジェクトのビルド方法によっては実用的でなかったり可能でないことがありますが、多くの場合は十分です。しかし、管理対象環境とネイティブ環境でオブジェクトを共有できる能力によって、潜在的なリスクは油断できない環境に変化します。つまり、管理対象コードの不適切なデータ取り扱いがネイティブコードの予期しない脆弱性につながったり、ネイティブコードでの安全ではない操作によって管理対象コードのデータ構造が破壊されることがあります。

一般的に、管理対象アプリケーションからアクセスされるネイティブコードの脆弱性は、ネイティブ言語で書かれているアプリケーションと同様の方法で悪用されます。攻撃者は、管理対象アプリケーションがネイティブコードを使用して特定の操作を行っていることさえ識別できれば攻撃を行えます。これは、ネイティブコードにしばしば実装される特定の動作の識別や、P/Invoke の使用がわかってしまう、管理対象アプリケーションの System Information Leak の利用など、さまざまな方法で行うことができます。