Retbleed е нова атака срещу спекулативния механизъм за изпълнение на процесорите на Intel и AMD

Група изследователи от ETH Цюрих идентифицираха нова атака срещу механизма за спекулативно изпълнение на косвени скокове в процесора, който ви позволява да извличате информация от паметта на ядрото или да организирате атака срещу хост системата от виртуални машини. Уязвимостите бяха с кодово име Retbleed (CVE-2022-29900, CVE-2022-29901) и са подобни по природа на атаките Spectre-v2. Разликата се свежда до организацията на спекулативното изпълнение на произволен код при обработката на инструкцията „ret“ (връщане), която извлича адреса за скок от стека, вместо индиректно скачане с помощта на инструкцията „jmp“, зареждайки адреса от паметта или регистър на процесора.

Нападателят може да създаде условия за неправилно предвиждане на скок и да организира целенасочен спекулативен скок към кодов блок, който не е предвиден от логиката за изпълнение на програмата. В крайна сметка процесорът ще определи, че прогнозата за разклоняване не е оправдана и ще върне операцията до първоначалното й състояние, но данните, обработени по време на спекулативното изпълнение, ще се установят в кеша и микроархитектурните буфери. Ако погрешно изпълнен блок извърши достъп до паметта, тогава спекулативното му изпълнение ще доведе до установяване в общия кеш и данни, прочетени от паметта.

За да определи данните, останали в кеша след спекулативното изпълнение на операции, атакуващият може да използва методи за определяне на остатъчните данни чрез канали на трети страни, например да анализира промените във времето за достъп до кеширани и некеширани данни. За целенасочено извличане на информация от зони с различно ниво на привилегия (например от паметта на ядрото) се използват "джаджи" - последователности от команди, налични в ядрото, подходящи за спекулативно четене на данни от паметта, в зависимост от външни условия, които могат да бъдат повлияни от нападател.

За защита срещу класическите атаки на класа Spectre, които използват условни и индиректни инструкции за разклоняване, повечето операционни системи използват техниката "retpoline", базирана на замяна на операциите за косвено разклоняване с инструкцията "ret", за която е отделен блок за прогнозиране на състоянието на стека използван в процесори, не използва блок за предсказване на разклонения. При въвеждането на retpoline през 2018 г. се смяташе, че адресните манипулации, подобни на Spectre, не са практични за спекулативно разклоняване с помощта на инструкцията „ret“.

Изследователите, разработили метода за атака Retbleed, демонстрираха възможността за създаване на микроархитектурни условия за иницииране на спекулативен преход с помощта на инструкцията „ret“ и публикуваха готов набор от инструменти за идентифициране на последователности от инструкции (джаджи), подходящи за използване на уязвимостта в ядрото на Linux, в които се появяват такива условия.

В хода на проучването беше подготвен работещ експлойт, който позволява на системи с процесори на Intel от непривилегирован процес в потребителското пространство да извлича произволни данни от паметта на ядрото със скорост от 219 байта в секунда и 98% точност. При процесорите на AMD ефективността на експлойта е много по-висока - скоростта на изтичане е 3.9 KB в секунда. Като практически пример, той показва как да използвате предложения експлойт за определяне на съдържанието на файла /etc/shadow. При системи с процесори Intel атаката за определяне на хеша на root паролата е извършена за 28 минути, а при системи с процесори AMD за 6 минути.

Атаката беше потвърдена за 6-8 поколения процесори на Intel, пуснати преди третото тримесечие на 3 г. (включително Skylake), и AMD процесори, базирани на микроархитектури Zen 2019, Zen 1+ и Zen 1, които бяха пуснати преди второто тримесечие на 2 г. При по-новите модели процесори, като AMD Zen2021 и Intel Alder Lake, както и при ARM процесорите, проблемът се блокира от съществуващите защитни механизми. Например използването на инструкции за IBRS (Indirect Branch Restricted Speculation) помага за защита срещу атака.

Подготвен е набор от промени за ядрото на Linux и хипервайзора Xen, които блокират проблема програмно на по-стари процесори. Предложената корекция за ядрото на Linux променя 68 файла, добавя 1783 реда и премахва 387 реда. За съжаление, защитата води до значителни режийни разходи - в текстовете, извършени върху процесори AMD и Intel, влошаването на производителността се оценява от 14% до 39%. По-предпочитано е да се използва защита, базирана на IBRS инструкции, налични в новите поколения процесори на Intel и поддържани от ядрото на Linux 4.19.

При процесорите на Intel се извършва заместване на адрес за спекулативен индиректен клон поради функция, която възниква, когато възникне недостатъчен поток в буфера за връщане на стека. Когато възникнат такива условия, инструкцията ret започва да прилага логика за избор на адрес, подобна на тази, използвана при конвенционалните индиректни скокове. В ядрото на Linux са открити повече от хиляда места, които създават условия за иницииране на такъв обратен поток и са достъпни чрез системни повиквания.

При AMD процесорите спекулативното изпълнение на инструкцията „ret“ се извършва без препратка към специфичен за стека буфер (Return Address Stack), а блокът за предсказване на разклонения разглежда инструкцията „ret“ не като връщане на контрол, а като индиректен клон и, съответно, използва данните за прогнозиране, когато прогнозира индиректни преходи. При тези условия може да се използва практически всяка операция "ret", която е достъпна чрез системно повикване.

Освен това процесорите на AMD също имат друг проблем (CVE-2022-23825, объркване на типа разклонение), свързан с внедряването на фиктивни разклонения - условия за предсказване на разклонения могат да възникнат дори без необходимите инструкции за разклоняване, което ви позволява да повлияете на буфера за предсказване на разклонения без инструкция "ret". Тази функция значително усложнява прилагането на защитата и изисква по-активно изчистване на буфера за прогнозиране на разклоненията. Добавянето на пълна защита към ядрото се очаква да доведе до 209% увеличение на режийните разходи.

Източник: opennet.ru