{"id":104644,"date":"2022-07-13T15:36:38","date_gmt":"2022-07-13T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd"},"modified":"2022-07-13T15:36:38","modified_gmt":"2022-07-13T13:36:38","slug":"retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","title":{"rendered":"Retbleed \u2014 en ny angreb p\u00e5 den spekulative udf\u00f8relsesmekanisme i CPU'er fra Intel og AMD","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En gruppe forskere fra ETH Z\u00fcrich har identificeret en ny variant af angreb p\u00e5 mekanismen for spekulativ udf\u00f8relse af indirekte overgang i CPU'er, som muligg\u00f8r udtr\u00e6kning af information fra kerne-memo eller organisering af angreb p\u00e5 v\u00e6rtssystemet fra virtuelle maskiner. S\u00e5rbarhederne har kodenavn Retbleed (CVE-2022-29900, CVE-2022-29901) og ligner p\u00e5 mange m\u00e5der Spectre-v2 angreb. Forskellen ligger i organiseringen af spekulativ udf\u00f8relse af vilk\u00e5rlig kode ved behandling af instruktionen «ret» (return), der udtr\u00e6kker en adresse for overgang fra stakken, i stedet for indirekte overgang ved hj\u00e6lp af instruktionen «jmp» med indl\u00e6sning af adressen fra hukommelsen eller CPU-registeret. <\/p>\n
En angriber kan skabe betingelser for en forkert forudsigelse af springet og organisere et m\u00e5lrettet spekulativt spring til en kodeblok, der ikke er forudset af programmets udf\u00f8relseslogik. I sidste ende vil processoren bestemme, at forudsigelsen af grenen ikke holdt stik og g\u00e5 tilbage til den oprindelige tilstand, men de data, der blev behandlet under den spekulative udf\u00f8relse, vil forblive i cachen og mikroarkitekturelle buffere. Hvis den fejlagtigt udf\u00f8rte blok foretager en hukommelsesadgang, vil dens spekulative udf\u00f8relse f\u00f8re til, at den ligger i den f\u00e6lles cache sammen med data, der er l\u00e6st fra hukommelsen. <\/p>\n
For at bestemme data, der er tilbage i cachen efter spekulativ udf\u00f8relse af operationer, kan angriberen bruge metoder til at bestemme resterende data via sidel\u00f8bende kanaler, for eksempel ved at analysere \u00e6ndringer i adgangstider til cachede og ikke-cachede data. Til m\u00e5lrettet udtr\u00e6kning af information fra omr\u00e5der p\u00e5 et andet privilegieniveau (for eksempel fra kerne-memo) bruges «gadgets» \u2014 sekvenser af instruktioner til stede i kernen, der er egnede til spekulativ l\u00e6sning af data fra hukommelsen afh\u00e6ngigt af eksterne forhold, som angriberen kan p\u00e5virke. <\/p>\n
For at beskytte mod klassiske Spectre-angreb, der bruger betingede og indirekte overgangsinstruktioner, anvendes teknikken «retpoline» i de fleste operativsystemer, som er baseret p\u00e5 at erstatte operationer med indirekte overgang med instruktionen «ret», som har en separat blok til forudsigelse af staktilstand, der ikke bruger overgangsforudsigelsesblokken. Ved indf\u00f8relsen af retpoline i 2018 blev det antaget, at adressem\u00e6ssig manipulation, der ligner Spectre, ikke var anvendelig i praksis for spekulativ overgang ved hj\u00e6lp af instruktionen «ret». <\/p>\n
Forskere, der udviklede Retbleed-angrebsmethodikken, demonstrerede muligheden for at skabe mikroarkitektoniske betingelser for at initiere spekulativ overgang ved hj\u00e6lp af instruktionen «ret», og de offentliggjorde et f\u00e6rdigt v\u00e6rkt\u00f8j til at identificere i Linux-kernen passende sekvenser af instruktioner (gadgets), hvor s\u00e5danne betingelser manifesteres. <\/p>\n
I forskningen er der udarbejdet et fungerende exploit, som muligg\u00f8r at udtr\u00e6kke vilk\u00e5rlige data fra kernens hukommelse p\u00e5 systemer med Intel CPU'er fra et ikke-privilegieret proces i brugerens rum med en hastighed p\u00e5 219 byte per sekund og en n\u00f8jagtighed p\u00e5 98%. P\u00e5 AMD-processorer er effektiviteten af exploit'en meget h\u00f8jere \u2014 l\u00e6kagen sker med en hastighed p\u00e5 3,9 KB per sekund. Som et praktisk eksempel er det vist, hvordan man ved hj\u00e6lp af det foresl\u00e5ede exploit kan bestemme indholdet af filen \/etc\/shadow. P\u00e5 systemer med Intel CPU blev angrebet til at bestemme hash-v\u00e6rdien af root-brugerens adgangskode udf\u00f8rt p\u00e5 28 minutter, mens det p\u00e5 systemer med AMD CPU blev udf\u00f8rt p\u00e5 6 minutter.
\r\n \r\n
<\/div>\r\n <\/div><\/center> <\/p>\n
The ability to carry out the attack is confirmed for Intel processors of the 6th to 8th generations manufactured before the 3rd quarter of 2019 (including Skylake) and AMD processors based on Zen 1, Zen 1+, and Zen 2 microarchitectures that were produced before the 2nd quarter of 2021. In newer processor models, such as AMD Zen3 and Intel Alder Lake, as well as ARM processors, the issue is mitigated by existing protection mechanisms. For example, the use of IBRS (Indirect Branch Restricted Speculation) instructions helps protect against the attack. <\/p>\n
Der er udviklet et s\u00e6t \u00e6ndringer til Linux-kernen og Xen-hypervisoren, som blokerer problemet softwarem\u00e6ssigt p\u00e5 \u00e6ldre CPU'er. Det foresl\u00e5ede patch til Linux-kernen \u00e6ndrer 68 filer, tilf\u00f8jer 1783 linjer og fjerner 387 linjer. Desv\u00e6rre medf\u00f8rer beskyttelsen betydelige overhead-omkostninger \u2014 i gennemf\u00f8rte tests p\u00e5 AMD- og Intel-processorer vurderes ydelsestabet til mellem 14% og 39%. Det er mere fordelagtigt at anvende beskyttelse baseret p\u00e5 IBRS-instruktioner, der er tilg\u00e6ngelige i de nye generationer af Intel CPU'er og underst\u00f8ttes fra Linux-k\u00e6rne 4.19. <\/p>\n
P\u00e5 Intel-processorer udf\u00f8res adresseinds\u00e6ttelse til spekulativ indirekte spring ved hj\u00e6lp af en egenskab, der manifesterer sig ved underflow i Return Stack Buffer (RSB). N\u00e5r s\u00e5danne betingelser opst\u00e5r, begynder logikken for adressevalg at anvende, som er analog med den, der bruges ved normale indirekte spring. I Linux-kernen er der fundet mere end tusinde steder, der skaber betingelser for at initiere s\u00e5dan omvendt underflow, hvilket er tilg\u00e6ngeligt gennem systemopkald. <\/p>\n
P\u00e5 AMD-processorer udf\u00f8res spekulativ udf\u00f8relse af instruktionen 'ret' uden at v\u00e6re knyttet til den stak-specifikke buffer (Return Address Stack), og springforudsigelsesbufferen betragter instruktionen 'ret' ikke som en styring tilbage, men som et indirekte spring, og bruger derfor data til indirekte spring i sin forudsigelse. Under s\u00e5danne betingelser kan enhver 'ret'-operation, der kan n\u00e5s gennem et systemopkald, faktisk anvendes til udnyttelse. <\/p>\n
Der er ogs\u00e5 blevet identificeret et andet problem i AMD CPU'en (CVE-2022-23825, Branch Type Confusion), der relaterer sig til udf\u00f8relsen af falske spring \u2014 betingelserne for at forudsige et spring kan opst\u00e5, selv uden de n\u00f8dvendige branchering instruktioner, hvilket muligg\u00f8r indflydelse p\u00e5 bufferet til springforudsigelser uden en \"ret\" instruktion. Denne egenskab komplicerer i h\u00f8j grad implementeringen af beskyttelse og kr\u00e6ver en mere aktiv oprydning i bufferet for springforudsigelse. Det forventes, at tilf\u00f8jelsen af fuld beskyttelse i kernen vil resultere i en stigning i overhead p\u00e5 209%. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Afspil](\"https:\/\/img.youtube.com\/vi\/dmSPvJxPm80\/hqdefault.jpg\")
\r\n