SLAM — атака на CPU Intel, AMD и ARM, позволяваща определяне на съдържанието на паметта

Група изследователи от Свободния университет в Амстердам представи нова техника на атака SLAM (Спектърно линейно маскиране на адреси), която предлага нов начин за експлоатиране на микроархитектурни уязвимости от клас Спектър, при който изтичането на данни се случва при транслация на неконвенционални адреси, а за заобикаляне на проверките за конвенционалност се използват разширения за маскиране на линейни адреси, предоставени в новите процесори. Изследователите публикуваха инструментариум с реализация на метода и предложиха демонстрация, която показва как може да се извлекат данни от ядрото на паметта в съответствие с определена маска (показано е как за няколко десетки секунди в Ubuntu може да се извлече от ядрото на паметта низ с хеш на паролата за потребител root).

Атаката може да бъде извършена на системи с процесори Intel, поддържащи разширението LAM (Линейно маскиране на адреси), процесори AMD с разширение UAI (Игнориране на горен адрес) и процесори ARM с разширение TBI (Игнориране на горен байт). Посочените разширения позволяват да се използва част от битовете на 64-битови указатели за съхранение на неподходящи за адресиране метаданни (за обикновените програми не се изисква толкова много памет, че да могат да адресират 64-битови указатели, затова горните битове могат да бъдат използвани, например, за проверки, свързани с осигуряване на сигурността). Интересно е, че процесорите Intel, AMD и ARM с поддръжка на LAM, UAI и TBI все още са само анонсирани, но не се произвеждат в масови количества, което прави SLAM първата спекулативна атака срещу бъдещите CPU. Атаката може също да бъде извършена на стари CPU AMD Zen+ и Zen 2, податливи на уязвимост CVE-2020-12965.

По аналогия с експлоатацията на уязвимостите Spectre, атаката SLAM изисква наличие на определени последователности от инструкции (гаджети) в ядрото, които водят до спекулативно изпълнение на инструкции. Подобни инструкции водят до спекулативно четене на данни от паметта, в зависимост от външните условия, които атакуващият може да влияе. След определянето на грешния прогноз, резултатът от спекулативното изпълнение се отхвърля, но обработените данни остават в кеша и могат да бъдат извлечени чрез анализ по странични канали. За извличане на данните, които са задържани в кеша, изследователите прилагат метода Evict+Reload, основаващ се на създаването на условия за изместване на данните от кеша (например, създава се активност, която равномерно запълва кеша с типично съдържание) и изпълнението на операции, времето на изпълнение на които позволява да се прецени наличието на данни в процесорния кеш.

За извършване на атаката SLAM се използват гаджети на база код, в който контролируемите от атакуващия данни (по-долу променливата «secret») се използват като указател. Например: void unmasked_gadget(long **secret) { **secret; }

Отбелязва се, че подобни шаблони на код често се използват в програми. Например, в ядрото на Linux са открити десетки хиляди такива гаджети, от които най-малко няколко стотин са подходящи за използване в експлоити. Изтичането може да бъде блокирано чрез добавяне на допълнителни инструкции в подобни гаджети, които блокират спекулативното изпълнение. Компанията Intel планира да предостави софтуерен метод за блокиране на изтичането преди началото на доставките на процесори с поддръжка на LAM. Компанията AMD препоръча да се използват съществуващите методи за блокиране на атаките от клас Spectre v2. Разработчиците на ядрото на Linux, за да се защитят от атаката, решили да деактивират по подразбиране поддръжката на LAM, докато не бъдат публикувани препоръките на Intel за блокиране на уязвимостта.

Източник: opennet.ru