Scudo

Scudo adalah pengalokasi memori mode pengguna dinamis, atau pengalokasi heap, yang dirancang agar tahan terhadap kerentanan terkait heap (seperti buffer overflow berbasis heap, use after free, dan double free) sekaligus mempertahankan performa. Library ini menyediakan primitif alokasi dan de-alokasi C standar (seperti malloc dan free), serta primitif C++ (seperti new dan delete).

Scudo lebih merupakan mitigasi daripada pendeteksi error memori yang lengkap seperti AddressSanitizer (ASan).

Sejak rilis Android 11, scudo digunakan untuk semua kode native (kecuali pada perangkat dengan memori rendah, tempat jemalloc masih digunakan). Saat runtime, semua alokasi dan penghapusan heap native dilayani oleh Scudo untuk semua file yang dapat dieksekusi dan dependensi library-nya, dan proses akan dibatalkan jika kerusakan atau perilaku yang mencurigakan terdeteksi di heap.

Scudo adalah open source dan bagian dari project compiler-rt LLVM. Dokumentasi tersedia di https://llvm.org/docs/ScudoHardenedAllocator.html. Runtime Scudo dikirim sebagai bagian dari toolchain Android dan dukungan ditambahkan ke Soong dan Make untuk memungkinkan pengaktifan alokator dalam biner dengan mudah.

Anda dapat mengaktifkan atau menonaktifkan mitigasi tambahan dalam allocator menggunakan opsi yang dijelaskan di bawah.

Penyesuaian

Beberapa parameter alokator dapat ditentukan berdasarkan per proses melalui beberapa cara:

  • Secara statis: Tentukan fungsi __scudo_default_options dalam program yang menampilkan string opsi yang akan diuraikan. Fungsi ini harus memiliki prototipe berikut: extern "C" const char *__scudo_default_options().
  • Secara dinamis: Gunakan variabel lingkungan SCUDO_OPTIONS yang berisi string opsi yang akan diuraikan. Opsi yang ditentukan dengan cara ini akan mengganti definisi apa pun yang dibuat melalui __scudo_default_options.

Opsi berikut tersedia.

Opsi Default 64-bit Default 32-bit Deskripsi
QuarantineSizeKb 256 64 Ukuran (dalam KB) karantina yang digunakan untuk menunda pengalokasian ulang sebenarnya. Nilai yang lebih rendah dapat mengurangi penggunaan memori, tetapi mengurangi efektivitas mitigasi; nilai negatif akan kembali ke default. Menetapkan nilai ini dan ThreadLocalQuarantineSizeKb ke nol akan menonaktifkan karantina sepenuhnya.
QuarantineChunksUpToSize 2048 512 Ukuran (dalam byte) hingga potongan dapat dikarantina.
ThreadLocalQuarantineSizeKb 64 16 Ukuran (dalam KB) penggunaan cache per thread untuk mengosongkan karantina global. Nilai yang lebih rendah dapat mengurangi penggunaan memori, tetapi dapat meningkatkan pertentangan pada karantina global. Menetapkan ini dan QuarantineSizeKb ke nol akan menonaktifkan karantina sepenuhnya.
DeallocationTypeMismatch false false Mengaktifkan pelaporan error pada malloc/delete, new/free, new/delete[]
DeleteSizeMismatch true true Mengaktifkan pelaporan error pada ketidakcocokan antara ukuran baru dan hapus.
ZeroContents false false Mengaktifkan konten chunk nol pada alokasi dan dealokasi.
allocator_may_return_null false false Menentukan bahwa alokator dapat menampilkan null saat error yang dapat dipulihkan terjadi, bukan menghentikan proses.
hard_rss_limit_mb 0 0 Jika RSS proses mencapai batas ini, proses akan dihentikan.
soft_rss_limit_mb 0 0 Jika RSS proses mencapai batas ini, alokasi lebih lanjut akan gagal atau menampilkan null (bergantung pada nilai allocator_may_return_null), hingga RSS kembali turun untuk memungkinkan alokasi baru.
allocator_release_to_os_interval_ms T/A 5000 Hanya memengaruhi alokator 64-bit. Jika ditetapkan, akan mencoba melepaskan memori yang tidak digunakan ke OS, tetapi tidak lebih sering dari interval ini (dalam milidetik). Jika nilainya negatif, memori tidak akan dirilis ke OS.
abort_on_error true true Jika ditetapkan, alat akan memanggil abort(), bukan _exit() setelah mencetak pesan error.

Validasi

Saat ini, tidak ada pengujian CTS khusus untuk Scudo. Sebagai gantinya, pastikan pengujian CTS lulus dengan atau tanpa Scudo yang diaktifkan untuk biner tertentu guna memverifikasi bahwa pengujian tersebut tidak memengaruhi perangkat.

Pemecahan masalah

Jika masalah yang tidak dapat dipulihkan terdeteksi, alokator akan menampilkan pesan error ke deskripsi error standar, lalu menghentikan proses. Stack trace yang menyebabkan penghentian ditambahkan dalam log sistem. Output biasanya dimulai dengan Scudo ERROR:, diikuti dengan ringkasan singkat masalah beserta pointer apa pun.

Berikut adalah daftar pesan error saat ini dan kemungkinan penyebabnya:

  • corrupted chunk header: Verifikasi checksum header chunk gagal. Hal ini kemungkinan disebabkan oleh salah satu dari dua hal: header ditulis ulang (sebagian atau seluruhnya), atau pointer yang diteruskan ke fungsi bukan sepotong.
  • race on chunk header: Dua thread yang berbeda mencoba memanipulasi header yang sama secara bersamaan. Hal ini biasanya merupakan gejala dari kondisi perlombaan atau kurangnya penguncian secara umum saat melakukan operasi pada bagian tersebut.
  • invalid chunk state: Potongan tidak dalam status yang diharapkan untuk operasi tertentu, misalnya, tidak dialokasikan saat mencoba mengosongkannya, atau tidak di-karantina saat mencoba mendaur ulangnya. Double free adalah alasan umum terjadinya error ini.
  • misaligned pointer: Persyaratan perataan dasar diberlakukan dengan ketat: 8 byte pada platform 32-bit dan 16 byte pada platform 64-bit. Jika pointer yang diteruskan ke fungsi kita tidak sesuai, pointer yang diteruskan ke salah satu fungsi tidak selaras.
  • allocation type mismatch: Jika opsi ini diaktifkan, fungsi dealokasi yang dipanggil pada bagian harus cocok dengan jenis fungsi yang dipanggil untuk mengalokasikannya. Jenis ketidakcocokan ini dapat menimbulkan masalah keamanan.
  • invalid sized delete: Saat operator penghapusan berukuran C++14 digunakan, dan pemeriksaan opsional diaktifkan, ada ketidakcocokan antara ukuran yang diteruskan saat mengalokasikan kembali bagian dan ukuran yang diminta saat mengalokasikannya. Hal ini biasanya merupakan masalah compiler atau kebingungan jenis pada objek yang dide-alokasikan.
  • RSS limit exhausted: RSS maksimum yang ditentukan secara opsional telah terlampaui.

Jika men-debug error di OS itu sendiri, Anda dapat menggunakan build OS HWASan. Jika Anda men-debug error dalam aplikasi, Anda juga dapat menggunakan build aplikasi HWASan.