Skudo

Scudo adalah pengalokasi memori mode pengguna dinamis, atau pengalokasi heap, yang dirancang agar tahan terhadap kerentanan terkait heap (seperti buffer berbasis heap overflow, penggunaan setelah tersedia, dan double free) sekaligus mempertahankan performa. Library ini menyediakan primitif alokasi dan de-alokasi C standar (seperti malloc dan free), serta primitif C++ (seperti new dan delete).

Scudo lebih bersifat mitigasi daripada detektor error memori yang lengkap seperti AddressSanitizer (ASan).

Sejak rilis Android 11, scudo digunakan untuk semua kode native (kecuali pada perangkat dengan memori rendah, tempat jemalloc masih digunakan). Saat runtime, semua alokasi dan dealokasi heap native akan dilayani oleh Scudo untuk semua file yang dapat dieksekusi dan dependensi library-nya, dan proses akan dibatalkan jika ada perilaku yang rusak atau mencurigakan di heap.

Scudo adalah open source dan bagian dari project compiler-rt LLVM. Dokumentasi tersedia di https://llvm.org/docs/ScudoHardenedAllocator.html. Runtime Scudo dikirim sebagai bagian dari toolchain Android dan dukungan ditambahkan ke Soong dan Make untuk memungkinkan pengaktifan alokator dalam biner dengan mudah.

Anda dapat mengaktifkan atau menonaktifkan mitigasi tambahan dalam allocator menggunakan opsi yang dijelaskan di bawah.

Penyesuaian

Beberapa parameter alokator dapat ditentukan berdasarkan per proses melalui beberapa cara:

  • Secara statis: Tentukan fungsi __scudo_default_options dalam program yang menampilkan string opsi yang akan diuraikan. Fungsi ini harus memiliki prototipe berikut: extern "C" const char *__scudo_default_options().
  • Secara dinamis: Gunakan variabel lingkungan SCUDO_OPTIONS yang berisi string opsi yang akan diuraikan. Opsi yang ditentukan dengan cara ini akan mengganti definisi apa pun yang dibuat melalui __scudo_default_options.

Opsi berikut tersedia.

Opsi Default 64-bit Default 32-bit Deskripsi
QuarantineSizeKb 256 64 Ukuran (dalam KB) karantina yang digunakan untuk menunda pengalokasian ulang yang sebenarnya. Nilai yang lebih rendah dapat mengurangi penggunaan memori, tetapi mengurangi efektivitas mitigasi; nilai negatif akan kembali ke default. Menetapkan parameter ini dan ThreadLocalQuarantineSizeKb ke nol akan menonaktifkan karantina sepenuhnya.
QuarantineChunksUpToSize 2048 512 Ukuran (dalam byte) hingga potongan dapat dikarantina.
ThreadLocalQuarantineSizeKb 64 16 Ukuran (dalam KB) cache per thread yang digunakan untuk memindahkan karantina global. Nilai yang lebih rendah dapat mengurangi penggunaan memori, tetapi dapat meningkatkan pertentangan pada karantina global. Menyetel ini dan QuarantineSizeKb ke nol akan menonaktifkan karantina sepenuhnya.
DeallocationTypeMismatch false false Mengaktifkan pelaporan error pada malloc/delete, new/free, new/delete[]
DeleteSizeMismatch true true Mengaktifkan pelaporan error terkait ketidakcocokan antara ukuran yang baru dan yang dihapus.
ZeroContents false false Mengaktifkan konten chunk nol pada alokasi dan dealokasi.
allocator_may_return_null false false Menentukan bahwa pengalokasi dapat menampilkan null saat error yang dapat dipulihkan terjadi, bukan menghentikan proses.
hard_rss_limit_mb 0 0 Jika RSS proses mencapai batas ini, proses akan dihentikan.
soft_rss_limit_mb 0 0 Jika RSS proses mencapai batas ini, alokasi lebih lanjut akan gagal atau menampilkan null (bergantung pada nilai allocator_may_return_null), hingga RSS kembali turun untuk memungkinkan alokasi baru.
allocator_release_to_os_interval_ms T/A 5000 Hanya memengaruhi alokator 64-bit. Jika disetel, akan mencoba melepaskan memori yang tidak terpakai ke OS, tetapi tidak lebih sering dari interval ini (dalam milidetik). Jika nilainya negatif, memori tidak akan dirilis ke OS.
abort_on_error true true Jika ditetapkan, alat akan memanggil abort(), bukan _exit() setelah mencetak pesan error.

Validasi

Saat ini, tidak ada pengujian CTS khusus untuk Scudo. Sebagai gantinya, pastikan pengujian CTS lulus dengan atau tanpa Scudo yang diaktifkan untuk biner tertentu guna memverifikasi bahwa pengujian tersebut tidak memengaruhi perangkat.

Pemecahan masalah

Jika masalah yang tidak dapat dipulihkan terdeteksi, alokator akan menampilkan pesan error ke deskriptor error standar, lalu menghentikan proses. Stack trace yang berujung pada penghentian akan ditambahkan ke log sistem. Output biasanya dimulai dengan Scudo ERROR:, diikuti dengan ringkasan singkat masalah beserta pointer.

Berikut adalah daftar pesan error saat ini dan kemungkinan penyebabnya:

  • corrupted chunk header: Verifikasi checksum header chunk gagal. Hal ini mungkin disebabkan oleh salah satu dari dua hal: header ditulis ulang (sebagian atau seluruhnya), atau pointer yang diteruskan ke fungsi bukan sepotong.
  • race on chunk header: Dua thread berbeda mencoba memanipulasi header yang sama secara bersamaan. Hal ini biasanya merupakan gejala kondisi race atau kurangnya penguncian secara umum saat melakukan operasi pada bagian tersebut.
  • invalid chunk state: Potongan tidak dalam status yang diharapkan untuk operasi tertentu, misalnya, tidak dialokasikan saat mencoba mengosongkannya, atau tidak di-karantina saat mencoba mendaur ulangnya. Double free adalah alasan umum untuk error ini.
  • misaligned pointer: Persyaratan perataan dasar diberlakukan dengan ketat: 8 byte pada platform 32-bit dan 16 byte pada platform 64-bit. Jika pointer yang diteruskan ke fungsi kita tidak sesuai, pointer yang diteruskan ke salah satu fungsi tidak selaras.
  • allocation type mismatch: Jika opsi ini diaktifkan, fungsi dealokasi yang dipanggil pada potongan harus cocok dengan jenis fungsi yang dipanggil untuk mengalokasikannya. Jenis ketidakcocokan ini dapat menyebabkan masalah keamanan.
  • invalid sized delete: Saat operator 'delete' berukuran C++14 digunakan, dan pemeriksaan opsional diaktifkan, ada ketidakcocokan antara ukuran yang diteruskan saat membatalkan alokasi sebuah potongan dan ukuran yang diminta saat mengalokasikannya. Hal ini biasanya berupa masalah compiler atau kebingungan jenis pada objek yang dibatalkan alokasinya.
  • RSS limit exhausted: RSS maksimum yang ditentukan secara opsional telah terlampaui.

Jika men-debug error di OS itu sendiri, Anda dapat menggunakan build OS HWASan. Jika Anda men-debug error dalam aplikasi, Anda juga dapat menggunakan build aplikasi HWASan.