Rust下的二进制漏洞 CVE-2024-27284 分析教学文档

漏洞概述

CVE-2024-27284 是 Cassandra-rs 开源库中发现的一个 Use-After-Free (UAF) 漏洞。这个漏洞特别值得关注，因为它出现在 Rust 语言实现的库中，而 Rust 通常被认为能够规避内存安全问题。

漏洞背景

Cassandra 是一个开源的分布式数据库管理系统，由 Apache 软件基金会开发和维护。Cassandra-rs 是 Cassandra 的 Rust 绑定库。

漏洞技术细节

漏洞特征

1. 漏洞类型：Use-After-Free (UAF)
2. 与迭代器(iterator)相关
3. 触发与 next() 方法调用有关

根本原因

漏洞源于 Rust 绑定未能正确反映底层 C++ 驱动程序中迭代器的行为：

1. 底层 C++ 驱动程序中，当调用 next() 时，当前项会被置为无效
2. 在 Rust 绑定中，这一行为未被正确表达
3. 导致 Rust 代码可能继续使用已被释放的内存

修复方案分析

主要修复措施

1. 将迭代器从 std::iter::Iterator 改为自定义的 LendingIterator
2. 为数据对象增加生命周期注解
3. 为某些结构体添加幽灵数据(PhantomData)以正确表达生命周期

关键修复代码示例

// 修复前
pub struct Field {
    pub name: String,
    pub value: Value,
}

// 修复后
pub struct Field<'a> {
    pub name: String,
    pub value: Value<'a>,
}

// 修复前
pub struct RowIterator(pub *mut _CassIterator);

// 修复后
pub struct RowIterator<'a>(*mut _CassIterator, PhantomData<&'a _Row>);

Rust 相关概念详解

幽灵数据(PhantomData)

PhantomData 是 Rust 中的一种零大小类型标记，用于表达类型系统中无法直接表达的生命周期或所有权关系。

使用场景：

• 当结构体的生命周期需要与某个外部对象关联，但结构体中没有直接包含该对象的引用时
• 表达协变关系

示例：

pub struct Test2<'a> {
    n1: u32,
    _marker: PhantomData<&'a Test1>,
}

迭代器(Iterator)

Rust 中的迭代器有三种主要类型：

1. iter() - 返回不可变引用迭代器

   • 不转移所有权
   • 被迭代对象仍可使用

2. iter_mut() - 返回可变引用迭代器

   • 不转移所有权
   • 可修改元素

3. into_iter() - 消费迭代器

   • 转移所有权
   • 被迭代对象不可再使用

LendingIterator

LendingIterator 是修复中引入的自定义 trait，用于解决传统 Iterator 无法表达"借出"语义的问题。

关键特性：

pub trait LendingIterator {
    type Item<'a> where Self: 'a;
    // ...
}

这种设计确保迭代项的生命周期与迭代器本身绑定。

漏洞详细分析

问题根源

1. 内存模型：

   • C++ 中 ResultIterator 包含 Row 对象
   • 两者共享同一内存区域
   • 当 ResultIterator 被销毁时，Row 也会被销毁

2. Rust 绑定问题：

   • 修复前 Rust 绑定未能正确表达这种关系
   • Row 的生命周期被错误地绑定到 CassResult 而非 ResultIterator
   • 导致 Rust 编译器无法正确检查生命周期

漏洞触发场景

let mut tmp_row = None;
let result = function.get_result();
{
    for row in result.iter() {  // 修复前使用 Iterator
        if condition.satisfied() {
            tmp_row = Some(row) // 保存 Row 引用
            break;
        }
    }
} // ResultIterator 在这里被销毁

println!("{:?}", tmp_row); // UAF: 使用已销毁的 Row

修复策略

1. 引入 LendingIterator：

   • 确保迭代项的生命周期与迭代器绑定
   • 防止迭代项比迭代器存活更久

2. 调整生命周期注解：

   • 将 Row 的生命周期从 CassResult 改为 _Row 自身
   • 更准确地表达实际内存关系

3. 添加 PhantomData：

   • 为各种迭代器类型添加幽灵数据
   • 确保 Rust 编译器能正确进行生命周期检查

相关结构体分析

ResultIterator

// 修复前
pub struct ResultIterator<'a>(pub *mut _CassIterator, usize, PhantomData<&'a CassResult>);

// 修复后
pub struct ResultIterator<'a>(*mut _CassIterator, usize, PhantomData<&'a _CassResult>);

Row

// 修复前
pub struct Row<'a>(*const _Row, PhantomData<&'a CassResult>);

// 修复后
pub struct Row<'a>(*const _Row, PhantomData<&'a _Row>);

开发启示

1. unsafe 代码的风险：

   • 即使使用 Rust，unsafe 代码块仍需谨慎
   • 必须确保 unsafe 代码的正确生命周期和所有权语义

2. FFI 边界检查：

   • 与 C/C++ 交互时需要特别注意内存模型差异
   • 确保 Rust 绑定准确反映底层行为

3. 迭代器设计：

   • 对于"借出"型迭代器，考虑使用 LendingIterator 模式
   • 确保迭代项不会比迭代器存活更久

参考资料

1. Rust 官方文档
2. Generic Associated Types (GATs)