Use-After-Free

Définition

Use-After-Free (UAF) est une classe de vulnérabilités mémoire où du code accède à une zone mémoire (heap) après qu'elle a été libérée via free() ou delete. Cette vulnérabilité peut permettre à un attaquant de contrôler le comportement du programme en manipulant les données de la zone mémoire libérée avant qu'elle soit réutilisée. Le cycle de vie d'une vulnérabilité UAF est le suivant : un objet est alloué sur le heap, une référence (pointeur) vers cet objet est conservée, l'objet est libéré (free/delete), mais le pointeur reste actif (dangling pointer). Si l'attaquant peut contrôler ce qui est alloué dans la zone mémoire libérée avant que le pointeur soit réutilisé, il peut substituer ses propres données aux données originales de l'objet. L'exploitation typique d'un UAF utilise des techniques de heap spraying ou de heap grooming pour s'assurer que la zone mémoire libérée est réutilisée avec des données contrôlées par l'attaquant. Si l'objet libéré est un vtable de classe C++ (contenant des pointeurs de fonctions virtuelles), remplacer le vtable par un faux vtable avec des pointeurs vers du code contrôlé permet une exécution de code arbitraire lorsqu'une méthode virtuelle est appelée sur le pointeur dangling. Les navigateurs web (Chrome, Firefox, Safari, Edge) sont particulièrement affectés par les UAF en raison de leur architecture JavaScript complexe avec collecte automatique de mémoire, nombreux objets alloués dynamiquement, et code C++ massivement utilisant la mémoire heap. Des séries de CVE critiques affectant les navigateurs (CVE-2021-30551 pour Chrome, CVE-2022-26700 pour WebKit) exploitent des UAF dans les moteurs JavaScript. Les mitigations modernes incluent : les allocateurs de mémoire sécurisés (PartitionAlloc de Chrome, jemalloc de Firefox) qui séparent les allocations par type pour compliquer le contrôle post-libération, Safe Stack pour détecter les utilisations de pointeurs invalidés, et les sanitizers de compilation (AddressSanitizer détecte les UAF en développement). Les mécanismes GC (Garbage Collection) dans les langages modernes éliminent par conception cette classe de vulnérabilités.