GhostRace - атака срещу спекулативния механизъм за изпълнение в процесори Intel, AMD, ARM и IBM

Група изследователи от Vrije Universiteit Amsterdam и IBM разработиха нова атака срещу спекулативния механизъм за изпълнение в съвременните процесори, с кодово име GhostRace (CVE-2024-2193). Проблемът се появява в процесори, произведени от Intel, AMD, ARM и IBM. За да се демонстрират принципите на атаката, беше публикуван прототип на експлойт, който позволява извличане на данни от паметта на ядрото на Linux с производителност от 12 KB в секунда с ниво на надеждност, типично за атаките от клас Spectre. Когато извършва атаки срещу системи за виртуализация, нападател от гост система може да определи съдържанието на паметта на хост средата или други гост системи.

Предложеният метод за атака манипулира появата на спекулативни условия на надпревара, които могат да доведат до достъп до вече освободени области на паметта, ако процесорът неправилно прогнозира разклонения в кода, който изпълнява условни операции с примитиви за синхронизиране на нишки, като mutex и spinlock. Спекулативните достъпи до паметта, които се случват след откриване на погрешно предвиждане, се отхвърлят от процесора, но следите от тяхното изпълнение остават в кеша на процесора и след това могат да бъдат извлечени с помощта на анализ на страничния канал.

По аналогия с използването на уязвимостите на Spectre v1, атаката GhostRace изисква наличието на определени последователности от инструкции (джаджи) в ядрото, което води до спекулативно изпълнение на код в зависимост от външни условия, които могат да бъдат повлияни от атакуващия. За целите на оптимизацията процесорът започва да изпълнява такива джаджи в спекулативен режим, но след това определя, че прогнозата за разклоняване не е оправдана и връща операциите до първоначалното им състояние.

Една притурка се формира например от части от код, в които състоянието се проверява в безкраен цикъл и цикълът се излиза след премахване на заключването на достъпа до ресурса. Съответно, когато се изпълняват инструкции спекулативно, е възможно да се постигне фалшиво задействане на преход и изпълнение на набор от инструкции, защитени от заключване, въпреки факта, че заключването на ресурса остава неосвободено.

При анализ на кода на ядрото на Linux 5.15.83, изследователите идентифицираха 1283 джаджи, които водят до спекулативен достъп до вече освободена памет (SCUAF - Speculative Concurrent Use-After-Free). Потенциално може да бъде направена атака срещу системи за виртуализация, всякакви OS ядра и програми, в които примитивите за синхронизиране на нишки се проверяват с помощта на условни изрази и кодът се изпълнява на платформи, които позволяват спекулативно изпълнение на разклоняващи се операции (x86, ARM, RISC-V, и т.н.).

За да се блокира атаката, се предлага да се използва сериализация на примитивите за синхронизация, т.е. добавяне на инструкция за процесор LFENCE след инструкцията cmpxchq, която проверява състоянието на заключване. Предложеният метод за защита за включване в ядрото на Linux води до понижаване на производителността от приблизително 5% при бенчмарка LMBench, тъй като извикването на LFENCE деактивира превантивното изпълнение на последващи инструкции, преди всички предишни операции да са били извършени.

Разработчиците на ядрото на Linux и компаниите за производство на процесори бяха уведомени за проблема в края на 2023 г. AMD публикува доклад за наличието на уязвимостта, в който препоръчва използването на стандартни техники за защита срещу Spectre v1 атаки. Intel и ARM все още не са отговорили. Разработчиците на ядрото на Linux не възнамеряват да използват предложения метод за сериализиране на примитиви за синхронизация в близко бъдеще поради наказанието за производителност, но вече са въвели необходимите ограничения за защита срещу свързаната техника за използване на IPI Storming (Inter-Process Interrupt Storming) ( CVE-2024-26602), който се използва в експлойт за прекъсване на процес в точния момент (наводняване на ядрото на процесора с прекъсвания, които предотвратяват завършването на манипулатор на прекъсвания, който е бил задействан, докато процесът е изпълняван), за да се осигури време прозорец за спекулативен достъп до вече освободена памет.

Въпреки факта, че изтичащите джаджи все още не са идентифицирани в хипервайзора на Xen, разработчиците на Xen са подготвили промени за прилагане на защитения заключващ механизъм LOCK_HARDEN, подобно на добавения по-рано метод за защита BRANCH_HARDEN. Поради възможното отрицателно въздействие върху производителността, както и липсата на доказателства за възможността за атака срещу Xen, режимът LOCK_HARDEN е деактивиран по подразбиране.

Източник: opennet.ru