Unsafe Native Invoke

O uso indevido de Platform Invocation Services pode tornar aplicativos gerenciados vulneráveis a falhas de segurança em outras linguagens.

Erros de invocação nativa não segura ocorrem quando um aplicativo gerenciado usa P/Invoke para chamar um código nativo (não gerenciado) escrito em outra linguagem de programação.

Exemplo 1: O código C# a seguir define uma classe denominada Echo. A classe declara um método nativo que usa C para ecoar comandos inseridos no console de volta para o usuário.

class Echo
{
  [DllImport("mylib.dll")]
  internal static extern void RunEcho();

  static void main(String[] args)
  {
    RunEcho();
  }
}

O código C a seguir define o método nativo implementado na classe Echo:

#include <stdio.h>

void __stdcall RunEcho()
{
  char* buf = (char*) malloc(64 * sizeof(char));
  gets(buf);
  printf(buf);
}

Como a classe Echo é implementada em um código gerenciado, pode parecer que ela é imune a problemas de memória, como vulnerabilidades de buffer overflow. Embora o ambiente gerenciado seja capaz de manter a segurança das operações de memória, essa proteção não se estende a vulnerabilidades que ocorrem no código nativo acessado com o uso de P/Invoke. Apesar das proteções de memória oferecidas no ambiente de tempo de execução gerenciado, o código nativo neste exemplo é vulnerável a um buffer overflow por utilizar gets(), que não realiza nenhuma verificação de limites em sua entrada. Além disso, buf é alocado, mas não é liberado e, portanto, é um vazamento de memória.

A vulnerabilidade no Example 1 pode ser facilmente detectada por meio de uma auditoria de código-fonte da implementação do método nativo. Isso pode não ser prático ou possível, dependendo da disponibilidade do código-fonte e de como o projeto está estruturado, mas, em muitos casos, pode ser suficiente. No entanto, a capacidade de compartilhar objetos entre os ambientes gerenciados e nativos aumenta o possível risco de casos muito mais traiçoeiros em que a manipulação imprópria de dados pode provocar vulnerabilidades inesperadas ou operações não seguras no código nativo, corrompendo estruturas de dados no código gerenciado.

Vulnerabilidades no código nativo acessado por meio de um aplicativo gerenciado são geralmente exploradas da mesma maneira que em aplicativos escritos na linguagem nativa. O único desafio a um ataque desse tipo é que o invasor deve identificar se o aplicativo gerenciado usa um código nativo para realizar determinadas operações. Isso pode ser feito de várias maneiras, entre elas identificando comportamentos específicos que muitas vezes são implementados com código nativo ou explorando um vazamento de informações do sistema no aplicativo gerenciado que expõe seu uso de P/Invoke.