Translating vaddubm on big-endian PowerPC corrupts the heap and aborts

Đang mở
  • Có gì không ổn?
#292 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
48/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
cpp, python
Lĩnh vực
reverse-engineering

Hướng nghiên cứu

Bắt đầu từ điểm vào pypcode.Context.translate và tái hiện trường hợp vaddubm bốn byte cho PowerPC:BE:32:default và PowerPC:BE:64:default. Truy vết đường dẫn dịch PowerPC big-endian và so sánh với trường hợp little-endian không gây hủy tiến trình. Hoàn tất khi đầu vào vaddubm hợp lệ không còn làm hỏng heap hoặc khiến tiến trình bị hủy.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

THIS MESSAGE WAS GENERATED BY AN AUTOMATED PROCESS

Translating a single ordinary AltiVec instruction corrupts the heap and aborts
the process. Four bytes are enough, and the input is valid PowerPC — not
malformed or random data.

import pypcode
pypcode.Context("PowerPC:BE:32:default").translate(
    b"\x10\x00\x00\x00", 0x1000,
    max_instructions=99999, max_bytes=4,
    flags=pypcode.TranslateFlags.BB_TERMINATING,
)

The process dies with SIGABRT and glibc reports heap corruption — variously
free(): invalid size and corrupted size vs. prev_size, which indicates an
out-of-bounds write rather than a bad read.

On big-endian PowerPC, 10 00 00 00 decodes as vaddubm v0,v0,v0 — vector add
unsigned byte modulo, an unremarkable AltiVec instruction that a compiler will
emit for ordinary vectorised code.

What I verified

language result
PowerPC:BE:32:default SIGABRT, heap corruption reported by glibc
PowerPC:BE:64:default SIGABRT, heap corruption reported by glibc
PowerPC:LE:32:default no abort — those bytes are not vaddubm in this byte order

So the trigger tracks the instruction rather than the language variant, as one
would expect.

This is current master: the checkout used is 559aacdc, which is master at
the time of writing, and it also reproduces on the released 4.0.0 wheel from
PyPI in a clean virtual environment, so it does not depend on a source build.

Why it is worth attention

Any consumer that lifts PowerPC through Sleigh can be killed outright by four
bytes of legitimate input, with no exception to catch and no opportunity to skip
the block. It surfaced during a survey of a large binary corpus, where it
accounted for a small number of objects only because most PowerPC there routes
through a different lifter — the object count understates the exposure rather
than bounding it.

I have not attempted a fix, and I am not proposing one here; the report is the
contribution. Happy to test a patch against the same input if that helps.

Ngôn ngữ chính
C++
Star
224
Fork
33
Merge trung bình
9 giờ 30 phút
Pull request đã merge (30 ngày)
14

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của angr/pypcode

Tất cả issue của angr/pypcode

Issue tương tự

Thêm issue về C++

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.