Атака срещу Intel SGX, позволяваща извличане на конфиденциални данни или изпълнение на код в анклава

Изследователи от Оборонния научно-технически университет на Народно-освободителната армия на Китай, Националния университет на Сингапур и Швейцарската висша техническа школа в Цюрих разработиха нов метод за атака срещу изолирани анклави Intel SGX (Software Guard eXtensions). Атаката, наречена SmashEx, е предизвикана от проблеми с реентерацията при обработката на изключителни ситуации по време на работа на компонентите в runtime за Intel SGX. Предложеният метод за атака позволява, при контрол на операционната система, да се определят конфиденциални данни, разположени в анклава, или да се организира копиране на собствен код в паметта на анклава и неговото изпълнение.

Прототипи на експлоити са подготвени за анклави с runtime, базирани на Intel SGX SDK (CVE-2021-0186) и Microsoft Open Enclave (CVE-2021-33767). В първият случай е демонстрирана възможността за извличане на RSA-ключа, използван на уеб сървър за HTTPS, а във втория е успяно определено съдържанието, получено с утилита cURL, стартирана в анклава. Уязвимостта вече е отстранена софтуерно в изданията на Intel SGX SDK 2.13 и Open Enclave 0.17.1. Освен пакетите Intel SGX SDK и Microsoft Open Enclave, уязвимостта се проявява и в SDK на Google Asylo, EdgelessRT, Apache Teaclave, Rust SGX SDK, SGX-LKL, CoSMIX и Veracruz.

Напомняме, че технологията SGX (Software Guard Extensions) се появи в процесорите Intel Core шесто поколение (Skylake) и предлага серия инструкции, позволяващи на приложенията от потребителския слой да отделят затворени области на паметта — анклави, съдържанието на които не може да бъде прочетено или променяно дори от ядрото и кода, изпълняван в режимите ring0, SMM и VMM. Предаването на управление на кода в анклава не е възможно с традиционни функции за прехвърляне и манипулации с регистри и стек — за предаване на управление в анклава се използват специално създадени нови инструкции EENTER, EEXIT и ERESUME, които извършват проверка на пълномощията. При това поставеният в анклав код може да използва класически методи за извикване на функции вътре в анклава и специална инструкция за извикване на външни функции. За защита от хардуерни атаки, като свързване към модула DRAM, се прилага шифруване на паметта на анклава.

Проблемата е свързана с факта, че технологията SGX позволява на операционната система да прекрати изпълнението на анклава чрез генериране на хардуерно изключение, а в анклавах не са реализирани адекватно примитивите за атомарна обработка на подобни изключения. За разлика от ядрото на операционната система и обикновените приложения, кодът в анклавете няма достъп до примитиви за организиране на атомарни действия по време на обработка на възникващи асинхронно изключения. Без тези атомарни примитиви анклавете могат да бъдат прекратени по всяко време и да се върнат към изпълнение, дори когато в анклавете се изпълняват критични секции и той се намира в небезопасно състояние (например, когато регистрите на CPU не са запазени/възстановени).

За нормалното функциониране технологията SGX позволява прекратяване на изпълнението на анклава чрез настраиваеми хардуерни изключения. Тази функция позволява на runtime-окруженията на анклавете да реализират обработка на вътре-анклавни изключения или обработка на сигнали, но тя може да провокира и грешки при реентерабилност. Атаката SmashEx се основава на експлоатацията на недостатъци в SDK, поради които ситуацията с повторно извикване на обработчика на изключения не се обработва адекватно. Важно е, че за експлоатация на уязвимостта атакуващият трябва да има възможност да прекрати изпълнението на анклава, т.е. трябва да контролира работата на системното окружение.

След генерирането на изключение атакуващият получава малко времево прозорче, в което може да перехвърли потока на изпълнение чрез манипулация с входните параметри. По-специално, при наличие на достъп до системата (окружение извън анклава) може да се създаде ново изключение веднага след изпълнението на инструкциите за вход в анклава (EENTER), което ще доведе до възвръщане на контрола на системата в момент, когато настройката на стека за анклава все още не е завършена, в която в том числе се запазва състоянието на регистрите на CPU.

Системата след това може да върне управлението обратно към анклава, но тъй като стека на анклава по време на прекъсването не е бил конфигуриран, анклавът ще бъде изпълняван със стека, намиращ се в паметта на системата, което може да се използва за прилагане на експлоатационни техники, основани на програмиране с обратна ориентация (ROP — Return-Oriented Programming). При използване на техниката ROP атакуващият не се опитва да постави своя код в паметта, а работи с вече налични в заредените библиотеки парчета машинни инструкции, завършващи с инструкция за връщане на управлението (обикновено това са окончания на библиотечни функции). Работата на експлойта се свежда до изграждане на верига от подобни блокове („гаджети“) за получаване на необходимата функционалност.

Източник: opennet.ru