Phoenix — атака на чиповете DDR5, водеща до изкривяване на съдържанието на паметта.

Изследователи от Швейцарския федерален институт по технологиите в Цюрих, съвместно с инженери от компания Google, разработиха нова тактика на атака от клас Rowhammer — Phoenix (CVE-2025-6202), която позволява да се заобиколят механизмите за защита TRR (Target Row Refresh), използвани в DDR5 чипове, предотвратяващи изкривяването на паметта заради загуба на заряд. Публикуван е прототип на експлоита, който позволява променяне на съдържанието на определен бит в оперативната памет и повишаване на привилегиите в системата. Демонстрацията на атаката беше извършена на компютър с процесор AMD, базиран на микроархитектура Zen 4 и DDR5 памет от SK Hynix, на който се изпълняваха типични desktop задачи.

Атаката RowHammer позволява изкривяване на съдържанието на отделни битове памет в DRAM чрез циклично четене на данни от съседни клетки. Тъй като паметта DRAM представлява двумерен масив клетки, всяка от които се състои от кондензатор и транзистор, непрекъснатото четене на една и съща област от паметта води до флуктуации на напрежението и аномалии, причиняващи незначителна загуба на заряд в съседни клетки. При висока интензивност на четене, съседната клетка може да загуби достатъчно голямо количество заряд и следващият цикъл на регенерация няма да успее да възстанови първоначалното й състояние, което ще доведе до промяна в стойността на данните, запазени в клетката.

Методът на атака Rowhammer беше предложен през 2014 година, след което между изследователи по сигурността и производители на хардуер започна игра на 'котки и мишки' — производителите на паметови чипове се опитваха да блокират уязвимостта, а изследователите откриваха нови начини за заобикалянето й. Например, за защита от RowHammer производителите на чипове добавиха механизъм TRR (Target Row Refresh), но се оказа, че той блокира изкривяванията само в специфични случаи и не защитава от всички възможни варианти на атака. Методите на атака бяха разработени за DDR3, DDR4 и DDR5 чипове на системи с Intel, AMD и ARM процесори, както и за видеопамет, използвана в NVIDIA графични карти. Освен това, бяха открити начини за заобикаляне на корекциите за грешки ECC и предложени варианти за извършване на атака чрез мрежа и чрез изпълнение на JavaScript код в браузъра.

Ключовият фактор за преодоляване на защитата от израждане на паметните клетки в DRAM е разбирането на логиката на механизма TRR, който основно разчита на скриването на детайлите от изпълнението и принципа „сигурност чрез неясност (security by obscurity). За да се определи логиката на работа и да се проведе обратен инженеринг, изследователите създадоха специални платки на базата на FGPA Arty-A7 и ZCU104, позволяващи тестване на модули DDR5-памет SO-DIMM и RDIMM, разкривайки шаблони за достъп до паметните клетки, определявайки какви нискоуровневи DDR-команди се изпращат след софтуерни операции с паметта и анализирайки реакцията на тях.

Оказа се, че защитата в анализираните чипове DDR5 е реализирана без допълнителни команди за управление на честотата на обновление на паметта и разчита на схеми с променлива честота на презареждане на клетките. За успешното провеждане на Rowhammer атака при тези условия е необходимо точно проследяване на хиляди операции за обновление на клетките. При тези условия предишно съществуващите методи за атака Rowhammer се оказаха неприложими и изследователите разработиха нов метод, който реализира самокорекция на шаблоните на достъп по време на откритие на пропуснати операции за обновление на паметта по време на атаката.

Методът се оказа ефективен и при провеждане на тестове позволи да се постигне контролирано израждане на бит на паметта на всичките 15 анализирани чипа DDR5 от компанията SK Hynix (заемаща 36% от пазара на DRAM), произведени от края на 2021 до края на 2024 година. Израждането на един бит се оказа достатъчно за създаването на експлойт, позволяващ получаване на root достъп в системата при провеждане на атака върху система с CPU AMD Ryzen 7 7700X и памет SK Hynix DDR5 за 109 секунди. За блокиране на предложената метода на атака се препоръчва увеличаване на честотата на обновление на паметта три пъти.

В качеството на методи за експлотация, позволяващи постигане на права root чрез израждане на един бит, са разгледани следните техники: промяна на съдържанието на записите в таблицата на страниците на паметта (PTE, page table entry) за получаване на привилегия на ядрото; повреда на съхранявания в паметта публичен ключ RSA-2048 в OpenSSH (може да се предостави публичният ключ в чуждестранен контекст. виртуална машина к съответствие с частния ключ на атакуващия за свързване с VМ на жертвата); заобикаляне на проверката на правата чрез модификация на паметта на процеса sudo. Методът с PTE се оказа работоспособен за всичките 15 тествани чипа, атаката през RSA успя да се проведе за 11 чипа, а през sudo — за 5.

В експлойта за разполагане на таблиците на страниците на паметта в избраните клетки на DRAM е използвана техниката Rubicon, разкрита едновременно с разглежданата атака Phoenix. Rubicon манипулира особеностите на оптимизацията в системата за управление на паметта на ядрото на Linux и позволява да се постигне заделянето на памет в области с различна стойност на "migratetype", резервации за привилегировани операции. Наличието на проблема е потвърдено в ядрата на Linux от версия 5.4 до 6.8, но теоретично уязвимостта обхваща всички ядра с механизъм за заделяне на памет Zoned Buddy Allocator.

Освен че улеснява извършването на атаки от клас Rowhammer, техниката Rubicon е също така приложима за повишаване на ефективността на микроархитектурните атаки, като Spectre, и за улесняване на определянето на местоположението на секретни данни в паметта, които трябва да бъдат извлечени чрез изтичания при спекулативно изпълнение на инструкции. Rubicon позволява да се избегне дългата фаза на сканиране на паметта и определяне на файлове, като /etc/shadow. Вместо това може незабавно да започне експлоатацията на микроархитектурни уязвимости, благодарение на предварително определеното местоположение на файла по известен физически адрес. Например, приложението на метода Rubicon ускори изтичането на данни на система с CPU Intel i7-8700K от 2698 до 9.5 секунди (в 284 пъти), а на CPU AMD EPYC 7252, от 189 до 27.9 секунди (в 6.8 пъти).

Междувременно, другая группа исследователей из Университета Джорджа Мейсона продемонстрировала применимость атак класса Rowhammer для компрометации AI-систем. Они предложили метод OneFlip, который позволяет точечно изменить поведение AI-моделей через искажение одного бита информации в памяти. Доступен пример кода для внедрения троянского изменения в нейронную сеть. Показано, как изменение одного бита может использоваться для искажения работы модели автопилота, чтобы изменить интерпретацию дорожного знака «Стоп» на знак «Ограничение скорости». Также рассмотрено применение метода для обхода систем распознавания лиц. Для моделей, хранящих весовые коэффициенты в форме 32-разрядных целых чисел, успех атаки оценивается в 99.9% без влияния на исходные характеристики модели.

Източник: opennet.ru