Navorsers van die Massachusetts Institute of Technology het die TONTOU (Time-of-Neutralization to Time-of-Use) aanvalstegniek geïdentifiseer, wat 'n nuwe manier bied om mikroargitektoniese kwesbaarhede in die Spectre v2-klas te benut. Die kwesbaarheid laat toe dat kerngeheue-inhoud bepaal word wanneer 'n aanval in gebruikersruimte uitgevoer word. Kode om die uitbuiting van die kwesbaarheid te blokkeer, is in die kern geïntegreer. Linux 5 Augustus en ingesluit in vrystellings 7.1.7, 6.18.43, 6.12.102, 6.6.149, 6.1.181, 5.15.214 en 5.10.263.
Navorsers het die uitvoerbaarheid van 'n plaaslike, onbevoorregte gebruikersaanval gedemonstreer om die wortelgebruiker se wagwoord-hash te bepaal wat in die /etc/shadow-lêer gestoor is en tydens stelselverifikasie in die geheue gelaai is. Die navorsers het suksesvol data uit kerngeheue gelek teen 'n deurset van 5.47 grepe per sekonde en 'n akkuraatheid van 91.97%. Van 10 toetslopies van die aanval, wat gemiddeld 18 minute geduur het, het hulle die helfte van die tyd die teenwoordigheid van die /etc/shadow-lêer in die geheue suksesvol opgespoor en die inhoud daarvan onttrek.
Die aanval is gedemonstreer op stelsels met AMD-verwerkers en kan gebruik word op AMD-SVE's van die Zen 1-4-families. Die aanval is ook uitvoerbaar op Intel-stelsels, maar die aanval is meer kompleks. Om teen terugkeerstapeloorstromings te beskerm en die SRSO (Speculative Return Stack Overflow) kwesbaarheid te blokkeer, gebruik AMD-verwerkers die Safe-RET-beskermingsmeganisme, wat die takvoorspellingsbuffer na elke gebruik skoonmaak en die aanvalvenster vernou tot twee instruksies wat binne 'n paar tiene nanosekondes uitgevoer word.
Om hierdie beskerming te omseil en die aanvalvenster uit te brei, is 'n SVE-vertragingstegniek geïmplementeer, wat onderbrekingsvervanging op die regte oomblik moontlik maak om die uitvoeringsvloei binne die kern te herlei en 'n onderbrekingshanteerder te gebruik om inskrywings in die takvoorspellingsbuffer te korrupteer. Om die SRSO-kwesbaarheid te benut, kan 'n aanvaller toestande skep waar die takvoorspellingseenheid spekulatief 'n groot aantal verkeerd voorspelde CALL-oproepe uitvoer, genoeg om die terugkeeradresstapel te oorloop en korrek voorspelde terugkeerpunte aan die begin van die stapel te oorskryf. Gevolglik kan die aanvanklike stapelelemente oorskryf word met waardes wat deur die aanvaller gekies is, wat vervolgens lei tot die gebruik van hierdie vervangde waardes tydens spekulatiewe uitvoering van 'n RET-instruksie in die konteks van 'n ander proses.
Die verwerker sal bepaal dat die vertakkingsvoorspelling verkeerd was en die bewerking terugrol, maar die data wat tydens spekulatiewe uitvoering verwerk is, sal in die kasgeheue en mikroargitektoniese buffers bly. As die foutief uitgevoerde blok toegang tot die geheue verkry, sal die spekulatiewe uitvoering daarvan ook daartoe lei dat die data wat uit die geheue gelees word, in die gedeelde kasgeheue bly. Om inligting uit die kasgeheue te herwin, kan 'n mens 'n metode gebruik om die kasinhoud te bepaal gebaseer op die analise van veranderinge in toegangstye vir gekaste en nie-gekaste data.
Bron: opennet.ru
