Время проверки — время использования

В Unix следующий код на языке C, используемый в программе с setuid, содержит ошибку TOCTOU:

if (access("file", W_OK) != 0) {
    exit(1);
}

fd = open("file", O_WRONLY);
write(fd, buffer, sizeof(buffer));

Здесь функция access проверяет, имеет ли реальный пользователь, запустивший программу с setuid, право на запись в файл (то есть access проверяет реальный идентификатор пользователя, а не эффективный идентификатор пользователя).

Подобное условие гонки может быть использовано для атаки:

if (access("file", W_OK) != 0) {
    exit(1);
}

symlink("/etc/passwd", "file");

fd = open("file", O_WRONLY);
write(fd, buffer, sizeof(buffer));

В этом примере злоумышленник может использовать условие гонки между access и open, чтобы вынудить жертву с setuid перезаписать запись в системной базе паролей. Ошибки типа TOCTOU могут использоваться для повышения привилегий и получения административного доступа к системе.

Хотя подобная последовательность требует точного согласования во времени, злоумышленник может добиться подходящих условий относительно несложно.

Такие уязвимости показывают, что приложение не может полагаться на то, что состояние, управляемое операционной системой (в данном случае пространство имён файловой системы) не изменится между системными вызовами.

Эксплуатация уязвимости типа TOCTOU требует точного согласования во времени, чтобы операции злоумышленника выполнялись между операциями жертвы. В приведённом выше примере злоумышленнику необходимо выполнить системный вызов symlink строго между access и open. Для наиболее общего случая атаки планировщик должен «подпускать» злоумышленника после каждой операции жертвы, что называется «однократной пошаговой» работой жертвы.

В случае с утилитой mail из BSD 4.3 и mktemp()^[2], достаточно запускать утилиту почты в одном процессе, а в другом — угадывать имена временных файлов и создавать символьные ссылки. Такая атака обычно срабатывает в течение одной минуты.

Техники пошагового воздействия на жертву включают создание «лабиринтов» в файловой системе^[7] и атаки на алгоритмическую сложность^[8]. Везде злоумышленник приводит ОС в особое состояние, чтобы контролировать расписание жертвы.

«Лабиринты» в файловой системе вынуждают жертву читать элемент каталога вне кэша ОС, и ОС «усыпляет» жертву на время чтения каталога с диска. Атакой по алгоритмической сложности заставляют жертву весь выделенный ей квант процессорного времени проводить в одном системном вызове, обходя хеш-таблицу кэша имён файлов. Для этого злоумышленник создаёт множество файлов, имена которых хешируются так же, как файл, который будет искать жертва.

Несмотря на концептуальную простоту, ошибки времени проверки — времени использования очень сложно предотвратить и полностью устранить. Одним из общих подходов является обработка ошибок вместо «предварительной проверки», согласно принципу EAFP («лучше потом извиниться, чем попросить разрешения») вместо LBYL («сначала посмотри, потом прыгай»). В таком подходе не проводится предварительная проверка, и сбой предположения фиксируется по возвращаемой ошибке^[9].

В контексте TOCTOU из-за файловой системы основная проблема — обеспечение того, чтобы состояние файловой системы не изменилось между двумя системными вызовами. В 2004 году была опубликована работа, показывающая невозможность — отсутствие портативной и детерминированной техники, полностью исключающей TOCTOU при использовании стандартных вызовов Unix access и open^[10].

Впоследствии были предложены исследовательские библиотеки для отслеживания файловых дескрипторов и контроля корректности^[11].

В качестве альтернативного решения в научном сообществе предлагается реализовать транзакции на уровне файловой системы или ядра ОС. Транзакции предоставляют механизм контроля параллелизма для ОС и могут предотвратить TOCTOU. Хотя ни одно производственное ядро Unix пока не реализовало транзакции, экспериментальные прототипы были созданы для Linux, например файловая система Valor^[12] и ядро TxOS^[13]. В операционной системе Microsoft Windows транзакции добавлены в файловую систему NTFS^[14], однако их использование не рекомендуется компанией Microsoft, и возможно, что эта возможность будет удалена в будущих версиях Windows^[15].

Блокировка файлов часто применяется для предотвращения условий гонки с отдельным файлом, но не защищает пространство имён файловой системы или другую метаинформацию. Блокировка плохо масштабируется для сетевых файловых систем и не может предотвратить TOCTOU.

Для бинарных файлов с setuid потенциальным решением может быть использование системного вызова seteuid() для изменения эффективного пользователя перед вызовом open(). Однако различия в реализации setuid() между ОС могут создать дополнительные сложности^[16].