Scenario 04: Kernel Heap UAF & Freelist Hardening Architecture Flow

📦 Phase 1: 정상 SLUB 메모리 할당 및 Freelist 순회 (Normal Operation)

Baseline Normal

리눅스 커널 SLUB 할당자는 고정 크기 캐시(kmalloc-128 등) 내의 가용 객체들을 싱글 링크드 리스트(Freelist)로 관리함. kmem_cache_cpu->freelist 포인터가 첫 번째 가용 청크를 가리키며, 할당 시 freepointer를 따라 연속 순회함.

⚙️ SLUB 할당 메커니즘 (mm/slub.c)

void *object = c->freelist; c->freelist = get_freepointer(s, object); return object; // 정상 청크 반환

🤖 휴머노이드 로봇 관절 제어 상태

gait->kp_pitch = 150.0f; // 공칭 비례 이득 gait->kd_pitch = 12.0f; // 공칭 감쇠 계수 yaw_rate_limit = 1.2 rad/s (정상 보행)

💥 Phase 2: 힙 버퍼 오버플로우 & 평문 Freelist 오염 공격 (Attack Detonation)

Vulnerable (SLAB_HARDENED=n)

CONFIG_SLAB_FREELIST_HARDENED=n 환경에서 freepointer는 평문 주소로 노출됨. 공격자는 fs_context 버퍼 오버플로우(CVE-2022-0185) 또는 Netfilter 힙 오염(CVE-2021-22555)을 유발하여 인접 미할당 슬롯의 freepointer를 임의 커널 구조체 주소로 덮어씀. 차기 kmalloc 호출 시 할당자가 해당 메모리를 공격자에게 그대로 할당함!

⚠️ Freelist Poisoning Exploit

// 8바이트 OOB 쓰기로 Slot 1 freepointer 변조 cache->objects[1].freelist_ptr = &victim_gait; // 차기 kmalloc() 호출 -> victim_gait 할당 반환! void *hacked = kmalloc(128, GFP_KERNEL);

🔴 사이버-물리 파괴 전이: 관절 공진 발산

hacked->kp_pitch = 9500.0f; // 제어 이득 폭주! hacked->kd_pitch = 0.0f; // 감쇠 제로 (공진) yaw_oscillation = 32.5 rad/s -> 급격한 전도 파괴

🛡️ Phase 3: SLAB Freelist Hardening XOR 쿠키 검증 & KFENCE 트랩 (Hardened Defense)

Hardened (CONFIG_SLAB_FREELIST_HARDENED=y)

CONFIG_SLAB_FREELIST_HARDENED=y 설정 시 커널은 freepointer를 ptr ^ s->random ^ swab64(slot_addr) 연산으로 상시 난독화함. 공격자가 평문 주소를 덮어쓰더라도 복호화 과정에서 고차 엔트로피 쓰레기 주소(0x756acb91f00cb3ce)가 산출되며, 캐노니컬 주소 및 정렬 검증에서 즉각 감지되어 kmem_cache_alloc 트랩(Oops/Panic)을 격발함!

🔐 Freepointer 암호화/복호화 공식

static inline freelist_ptr_t freelist_ptr_encode(...) { return ptr ^ s->random ^ swab64(ptr_addr); } // 평문 주입 시 -> 쓰레기 주소로 붕괴 -> Panic 트랩!

🛑 KFENCE (Kernel Electric-Fence) 가드 페이지

[Guard Page (PROT_NONE)] [Sampled Object] [Guard Page] // 인접 슬롯 OOB 침범 즉시 하드웨어 #PF 예외 트랩! // 커널 힙 손상 0%, 공격 시도 즉각 동결

🛑 Phase 4: 사이버-물리 페일세이프 E-Stop 및 관절 락 (Deterministic Safe State)

Safe State

커널 슬랩 무결성 트랩 또는 KFENCE #PF 인터럽트 발생 시, 하드웨어 Safety Watchdog 릴레이가 개입하여 48V 서보 모터 전원 버스를 0.0V로 즉각 차단함. 스프링 복귀형 전자 파킹 브레이크가 5ms 이내 로봇 12개 관절을 기계적으로 고정하여 전도 및 물리 충돌 피해를 0 J로 완벽 차단함.

⚡ 하드웨어 전원 버스 차단 (Depower)

Watchdog ISR Triggered (< 100 μs) Safety Relay Coil -> De-energized Motor Bus Voltage: 48.0V -> 0.0V (Depowered)

🔒 관절 파킹 브레이크 체결 (Joint Lock)

12x Actuator Clamps: Mechanical Snap (< 5 ms) Kinetic Energy Dissipation: Zero Impact System State: Deterministic Safe Halt

🧮 Freelist Obfuscation 수학적 원리

ptr ^ s->random ^ swab(ptr_addr) 연산은 캐시별 무작위 64비트 시크릿(s->random)뿐만 아니라 객체 자신의 메모리 주소(swab)를 암호 키로 함께 결합함. 따라서 동일한 객체 주소라도 다른 슬랩 슬롯으로 복사되거나 재사용될 수 없음.

🧱 KFENCE vs KASAN 오버헤드 비교

KASAN은 모든 8바이트 메모리마다 1바이트 섀도 메모리를 할당하여 CPU 2~3배, RAM 1.5배의 막대한 오버헤드를 유발함. 반면 KFENCE는 프로덕션 환경을 위해 샘플링 기반(수 초에 1회)으로 가드 페이지 객체를 할당하여 성능 저하 1% 미만으로 힙 OOB/UAF를 포획함.

🎲 CONFIG_SLAB_FREELIST_RANDOM

슬랩 페이지가 처음 할당될 때 선형적인 오름차순(Slot 0->1->2->3)으로 freelist를 구축하지 않고, Fisher-Yates 셔플 알고리즘으로 무작위 배치함. 공격자가 인접 객체의 물리적/가상 오프셋을 사전에 예측(Heap Grooming/Feng-shui)하는 것을 무력화함.

🛡️ Defense-in-Depth 슬랩 방어 계층

1단계 SLAB_FREELIST_HARDENED(XOR 검증) + 2단계 SLAB_FREELIST_RANDOM(배치 난수화) + 3단계 KFENCE(프로덕션 가드 페이지 탐지) + 4단계 HARDENED_USERCOPY(경계 검증)의 다층 방어로 커널 힙 익스플로잇 체인을 원천 차단함.