Indirector — нова микроархитектурна атака, засягаща CPU Intel Raptor Lake и Alder Lake

Изследователи от Калифорнийския университет в Сан Диего представиха нов метод за атака върху микроархитектурните структуры на процесорите Intel, приложим сред другото за CPU, базирани на микроархитектурите Raptor Lake и Alder Lake. Атаката, носеща кодово име Indirector, позволява промяна в хода на спекулативното изпълнение на инструкции в други процеси и на други нива на привилегии (например, в ядрото или друга виртуална машина), изпълнявани в един поток CPU с кода на атакуващия. В демонстрация на работата на метода е подготвен прототип на експлоит, който позволява определяне на разположението на адресите в паметта за заобикаляне на механизма за защита ASLR (Address Space Layout Randomization). Освен това, под лицензия MIT е публикуван инструментариум, разработен за анализ и обратно инжиниране на микроархитектурната логика на CPU.

Предложени са два метода за организиране на атаката. Първият метод е базиран на изкривяване на съдържанието на буфера за предсказване на косвени преходи IBP (Indirect Branch Predictor), използван за предсказване на косвени преходи в условия, когато адресът или отклонението за прехода все още не са известни и се изчисляват в инструкциите, предшестващи инструкцията за преход. Вторият метод се отнася до буфера за предсказване на преходите BTB (Branch Target Buffer), съдържащ информация за последните преходи.

Откритите уязвимости дават възможност на атакуващия да определи съдържанието на записите в буферите IBP и BTB, които съдържат адресите на преходите, използвани в странични процеси, и също така да извърши подмяна на произволен адрес на прехода в таблиците с данни на буферите. В резултат атакуващият може да постигне пренасочване на потока на изпълнение на страничния процес към желания адрес в паметта по време на спекулативното изпълнение на инструкциите. След като бъде определено грешното предсказание, резултатът от спекулативното изпълнение ще бъде отхвърлен, но адресите и данните, прочетени от паметта по време на спекулативното изпълнение, ще останат в кеша и могат да бъдат извлечени, използвайки един от методите за определяне съдържанието на кеша, основан на анализа на промяната на времето за достъп до кешираните и не кеширани данни. Определянето на точните адреси на косвените преходи на практика, например, може да се използва за заобикаляне на механизма за защита ASLR.

Източник: opennet.ru