Нова техника за използване на уязвимостите на Spectre Class в Chrome

Група изследователи от американски, австралийски и израелски университети предложиха нова техника за атака на страничен канал за използване на уязвимости от клас Spectre в браузъри, базирани на двигателя Chromium. Атаката с кодово име Spook.js ви позволява да заобиколите механизма за изолиране на сайта, като стартирате JavaScript код и прочетете съдържанието на цялото адресно пространство на текущия процес, т.е. достъп до данни от страници, работещи в други раздели, но обработвани в същия процес.

Тъй като Chrome управлява различни сайтове в различни процеси, способността за извършване на практически атаки е ограничена до услуги, които позволяват на различни потребители да хостват своите страници. Методът позволява от страница, в която атакуващият има възможност да вгради своя JavaScript код, да определи наличието на други страници, отворени от потребителя от същия сайт и да извлече поверителна информация от тях, например заместени идентификационни данни или банкови данни чрез системата за автоматично попълване на полета в уеб формуляри. Като демонстрация е показано как можете да атакувате блог на някой друг в услугата Tumblr, ако неговият собственик отвори блог на нападател, хостван в същата услуга в друг раздел.

Друг вариант за използване на метода е атака срещу добавките на браузъра, която позволява при инсталиране на добавка, контролирана от атакуващия, да се извличат данни от други добавки. Като пример показваме как чрез инсталиране на злонамерена добавка можете да извлечете поверителна информация от мениджъра на пароли LastPass.

Изследователите са публикували прототип на експлойт, който работи в Chrome 89 на системи с CPUIntel i7-6700K и i7-7600U. При създаването на експлойта бяха използвани прототипи на JavaScript код, публикуван преди това от Google, за извършване на атаки от клас Spectre. Отбелязва се, че изследователите са успели да подготвят работещи експлойти за системи, базирани на процесори Intel и Apple M1, които позволяват да се организира четене на паметта със скорост от 500 байта в секунда и точност от 96%. Предполага се, че методът е приложим и за процесори на AMD, но не беше възможно да се подготви напълно функционален експлойт.

Атаката е приложима за всички браузъри, базирани на двигателя Chromium, включително Google Chrome, Microsoft Edge и Brave. Изследователите също смятат, че методът може да бъде адаптиран за работа с Firefox, но тъй като двигателят на Firefox е много различен от Chrome, работата по създаването на такъв експлойт е оставена за бъдещето.

За защита срещу базирани на браузър атаки, свързани със спекулативно изпълнение на инструкции, Chrome прилага сегментиране на адресното пространство - изолацията на пясъчника позволява на JavaScript да работи само с 32-битови указатели и споделя паметта на манипулаторите в отделни 4GB купчини. За да осигурят достъп до цялото адресно пространство на процеса и да заобиколят 32-битовото ограничение, изследователите са използвали техника, наречена Type Confusion, която принуждава двигателя на JavaScript да обработва обект с неправилен тип, което прави възможно формирането на 64-битов указател, базиран на комбинация от две 32-битови стойности.

Същността на атаката е, че при обработката на специално проектиран злонамерен обект в JavaScript двигателя се създават условия, които водят до спекулативно изпълнение на инструкции, които имат достъп до масива. Обектът е избран по такъв начин, че полетата, контролирани от атакуващия, са поставени в областта, където се използва 64-битовият указател. Тъй като типът на злонамерения обект не съвпада с типа на обработвания масив, при нормални условия подобни действия се блокират в Chrome чрез механизъм за деоптимизиране на кода, използван за достъп до масиви. За да се реши този проблем, кодът за атаката Type Confusion се поставя в условен блок „if“, който не се активира при нормални условия, но се изпълнява в спекулативен режим, ако процесорът неправилно предвиди по-нататъшно разклоняване.

В резултат на това процесорът спекулативно осъществява достъп до генерирания 64-битов указател и връща състоянието назад след определяне на неуспешна прогноза, но следите от изпълнението остават в споделения кеш и могат да бъдат възстановени с помощта на методи за откриване на кеш на страничния канал, които анализират промените в времена за достъп до кеширани и некеширани данни. За анализиране на съдържанието на кеша в условия на недостатъчна точност на таймера, наличен в JavaScript, се използва метод, предложен от Google, който заблуждава стратегията за изваждане на кеша Tree-PLRU, използвана в процесорите, и позволява чрез увеличаване на броя на циклите да значително увеличават разликата във времето, когато дадена стойност присъства и отсъства в кеша.

Източник: opennet.ru