Google демонстрира експлоатация на уязвимости Spectre чрез изпълнение на JavaScript в браузъра

Компания Google публикува няколко прототипа на експлойти, които демонстрират възможността за експлоатация на уязвимости от клас Spectre при изпълнение на JavaScript код в браузъра с цел заобикаляне на преди това добавените защитни методи. Експлоитите могат да се използват за получаване на достъп до паметта на процеса, обработващ уеб съдържание в текущата вкладка. За тестване на работата на експлоита е стартиран сайт leaky.page, а кодът с описание на логиката е публикуван на GitHub.

Предложеният прототип е проектиран да атакува системи с процесори Intel Core i7-6500U в среда с Linux и Chrome 88. За прилагане на експлоита в други среди са необходими промени. Методът на експлоатация не е специфичен само за процесорите Intel - след подходяща адаптация работата на експлоита е потвърдена и на системи с CPU от други производители, включително Apple M1, базиран на архитектура ARM. След минимални корекции експлоита също е работоспособен в други операционни системи и в различни браузъри, базирани на движка Chromium.

В среда на базата на стандартния Chrome 88 и процесорите Intel Skylake успяхме да постигнем изтичане на данни от процеса, отговарящ за обработката на уеб съдържание в текущата вкладка на Chrome (renderer process), със скорост от 1 килобайт в секунда. Допълнително бяха разработени алтернативни прототипи, като например експлоит, който позволява, с цената на намаляване на стабилността, да се увеличи скоростта на изтичане до 8kB/s при използване на таймер performance.now() с точност 5 микросекунди (0.005 милисекунди). Също така беше подготвен вариант, работещ при точност на таймера на ниво една милисекунда, който може да се използва за организиране на достъп до паметта на друг процес със скорост около 60 байта в секунда.

Публикуваният демонстрационен код се състои от три части. Първата част извършва калибриране на таймера, за да оцени времето за изпълнение на операциите, необходими за възстановяване на данни, останали в кеша на процесора в резултат на спекулативно изпълнение на инструкции от CPU. Втората част определя разпределението на паметта, използвано при разполагане на масив от JavaScript.

Третата част директно експлоатира уязвимостта Spectre, за да определи съдържанието на паметта на текущия процес, създавайки условия за спекулативно изпълнение на определени операции, чийто резултат процесорът отхвърля след определяне на неуспешна прогноза, но следите от изпълнението остават в общия кеш и могат да бъдат възстановени с помощта на методи за определяне на съдържанието на кеша чрез странични канали, анализиращи промените във времето за достъп до кеширани и не кеширани данни.

Предложената техника на експлоатация позволява да се избегне използването на високо прецизни таймери, достъпни чрез API performance.now(), и без поддръжка на типа SharedArrayBuffer, позволяващ създаването на масиви в споделена памет. Експлоитът включва гаджет Spectre, който предизвиква контролирано спекулативно изпълнение на код и анализатор на течове чрез странични канали, който определя данните, попадащи в кеша, получени в хода на спекулативното изпълнение.

Гаджетът е реализиран с помощта на масив JavaScript, в който се извършва опит за достъп до зона извън границите на буфера, влияеща на състоянието на блока за предсказване на преходи поради наличието на добавена от компилатора проверка на размера на буфера (процесорът спекулативно извършва достъп, но отката е след проверката). За анализа на съдържанието на кеша при недостатъчна точност на таймера е предложен метод, който измамва използваната в процесорите стратегия за заместване на данни от кеша Tree-PLRU и позволява значително увеличаване на разликата във времето при отпускане на стойности от кеша в сравнение с липсата на стойност в кеша.

Отбелязва се, че компанията Google е публикувала прототип на експлоита, за да демонстрира реалистичността на атаките, основани на уязвимости от клас Spectre, и да стимулира уеб-разработчиците да прилагат техники, намаляващи рисковете от подобни атаки. Въпреки това Google смята, че без съществени преработки на предложената прототипа е невъзможно да се създадат универсални експлойти, готови не само за демонстрация, но и за широко приложение.

За намаляване на риска на собствениците на сайтове се предлага да използват реализираните в последно време заглавия Cross-Origin Opener Policy (COOP), Cross-Origin Embedder Policy (COEP), Cross-Origin Resource Policy (CORP), Fetch Metadata Request, X-Frame-Options, X-Content-Type-Options и SameSite Cookie. Указаните механизми не предоставят директна защита от атаки, но позволяват изолиране на данните на сайта от изтичане в процеси, в които може да бъде изпълнен JavaScript код на атакуващия (изтичането става от паметта на текущия процес, в който освен кода на атакуващия може да се обработват и данни от друг сайт, отворен в същия прозорец). Основната идея е да се разделят в различни процеси изпълнението на кода на сайта от външен код, получен от ненадеждни източници, например, включен чрез iframe.

Източник: opennet.ru