[15] ANGLE Metal: zero-init return for functions missing return statements

Severity: Medium | Component: ANGLE MSL translator | e539895

Medium으로 평가된 이유는 commit 메시지에 명시된 대로 garbage memory ... written to the framebuffer 현상이 WebGL2와 readPixels를 통해 임의의 웹 origin에서 도달 가능하기 때문입니다. 다만 이 leak은 수동적 성격으로, 공격자가 내용을 선택하는 것이 아니라 관찰하는 데 그치며, 실제로는 Metal 컴파일러가 return slot에 남기는 내용에 의해 범위가 제한됩니다.

Source/ThirdParty/ANGLE/src/compiler/translator/msl/TranslatorMSL.cpp

Patch Details

AddDefaultReturnStatements tree-op pass는 기존에 HLSL 전용이었으나, 이번 패치로 tree_ops/hlsl/에서 공통 tree_ops/ 폴더로 이동되었습니다. 이후 TranslatorMSL::translateImpl()에서 WrapMain 이전에 첫 번째 변환 단계로 호출됩니다. 두 개의 WebGL2 regression test가 추가되어, GLSL 함수가 명시적 return 없이 끝에 도달하는 경우 vector 및 struct 반환 타입에 대한 zero-init 동작을 검증합니다.

GLSL의 관대한 end-of-function 의미를 MSL의 엄격한 규칙에 맞게 정규화하지 않아, 초기화되지 않은 GPU thread 메모리가 노출되는 backend 고유의 undefined behavior 경로가 남겨진 패턴.

Background

ANGLE는 WebGL의 GLSL ES 소스를 플랫폼 native 셰이딩 언어인 HLSL, MSL, SPIR-V로 변환합니다. GLSL ES는 non-void 함수에서 모든 control-flow 경로에 return이 보장되지 않아도 허용하며, 함수 끝에 도달하더라도 unspecified value를 반환하는 것으로 처리됩니다. 반면 MSL에서는 non-void 함수의 끝에 도달하는 것이 undefined behavior로 취급됩니다. 이 경우 Metal 컴파일러는 return register나 stack slot에 남아 있는 값을 반환하는 코드를 생성할 가능성이 있습니다. AddDefaultReturnStatements는 AST를 순회하면서, 마지막 구문이 return이 아닌 함수 본문에 zero-initialized return을 추가합니다.

Analysis

Fragment shader의 helper function이 no-return 경로를 실행하고, 호출 측이 그 결과를 gl_FragColor에 쓰면, framebuffer 픽셀에는 GPU thread의 잔여 stack/register 내용이 그대로 담기게 됩니다.

Audit directions