H26Forge: Mehrheit der Video-Decoder wohl systematisch angreifbar

Immer wieder sorgen Bugs in Video-Decodern für Sicherheitslücken bis hin zu Zero Days. Wissenschaftler zeigen nun eine riesige Angriffsfläche.

Artikel veröffentlicht am 29. März 2023, 14:30 Uhr, Sebastian Grüner

Moderne Smartphone-SoCs wie Apples A16 setzen auf Hardware-Video-Decoder. (Bild: Apple/Screenshot:Golem.de)

Video-Decoder in modernen Betriebssystemen sind beliebte Angriffsziele, da Videos etwa auf Smartphones teils automatisch abgespielt werden. Darüber hinaus haben die Decoder dank ihrer Hardwarebeschleuniger und dazugehöriger Treiber oft auch weitgehende Systemberechtigungen.

Daher werden dafür auch Exploits geschrieben, die als sogenannter Zero Day ausgenutzt werden, etwa die Lücke mit der ID CVE-2022-22675 in Apples iOS. Ein Forschungsteam hat diese Schwachstellen systematisch untersucht und dabei weitere schwerwiegende Fehler gefunden (PDF).

Grundlage der Arbeiten von Willy R. Vasquez, Stephen Checkoway und Hovav Shacham ist eine Infrastruktur- und Analyseplattform, die sie H26Forge nennen. Damit gelang es den Forschern erstmals systematisch, syntaktisch korrekte Videodateien für den H.264-Codec zu erstellen, die aber semantisch nicht standardkonform sind und so ein unübliches Verhalten aufweisen. Das wiederum ermöglicht leichter als bisher die Suche nach Fehlern in der Umsetzung der Hardware-Decoder und ihrer Treiber.

Fehlersuche mit automatisiert kaputten Videodateien

Bisher mussten Videodateien oft manuell und vor allem bitweise manipuliert werden, wie das Forscherteam mit Bezug auf die erwähnte iOS-Lücke und eine Analyse durch Natalie Silvanovich von Googles Project Zero erklärte. Mithilfe von H26Forge ist dies aber wohl nicht mehr notwendig, da Videodateien damit systematisch und automatisiert manipuliert werden können.

Da bestehende Werkzeuge zum Umgang mit Videos und Codecs dieser Aufgabe nicht gewachsen sind, entschied sich das Team zu einer vollständigen Neuimplementierung. Diese nutzt den Angaben zufolge etwa 30.000 Zeilen Rust-Code und ein Python-Backend zum Scripting. Der Code soll parallel zu einem Vortrag im August diesen Jahres auf der Usenix-Securitykonferenz bereitgestellt werden.

Mithilfe von H26Forge fand das Team unter anderem Fehler in Firefox und Libavcodec, der Codec-Bibliothek von FFMpeg und VLC. Darüber hinaus konnten Fehler in iOS nachgestellt und neue gefunden werden, ebenso wie in verschiedenen Android-SoCs. Für die gefundenen Fehler könnten mit dem Werkzeug zudem schnell Exploits erstellt werden, erklärten die Forscher.

Das Team zieht daraus den Schluss, dass moderne Fuzzing-Techniken die Decoder-Infrastruktur nicht verbessert haben und auch Sandbox-Anstrengungen durch Fehler in Treibern und der Hardwareumsetzung unterlaufen werden. Empfohlen wird zudem, die Parsing-Software in Sprachen mit Speichersicherheit zu schreiben, um die typischen Fehler zu vermeiden, die für Exploits genutzt werden können.