{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2014 nye varianter af angrebet Spectre-v2, der p\u00e5virker Intel CPU'er.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En gruppe forskere fra Vrije Universiteit Amsterdam har identificeret flere nye s\u00e5rbarheder af Spectre-v2-typen, offentliggjort under kodenavnet Training Solo, som muligg\u00f8r omg\u00e5else af hukommelsesisolationsmekanismer. I konteksten af virtualiseringssystemer giver s\u00e5rbarhederne mulighed for at bestemme indholdet af v\u00e6rtsmilj\u00f8ets hukommelse fra g\u00e6stesystemer, og i konteksten af servere kan de bestemme indholdet af kernen hukommelse, n\u00e5r der udf\u00f8res en udnyttelse i brugerrummet. Eksempler p\u00e5 udnyttelser til at udf\u00f8re s\u00e5danne angreb er offentliggjort p\u00e5 GitHub. De pr\u00e6senterede udnyttelser g\u00f8r det muligt at udvinde vilk\u00e5rlige data fra kernen hukommelse med en hastighed p\u00e5 17 KB\/sec, og fra hypervisorens hukommelse \u2014 8,5 KB\/sec. <\/p>\n
I Spectre-v2-angreb anvendes der substituering af v\u00e6rdier i bufferne til branch target buffer eller branch history buffer, som anvendes til at forudsige den n\u00e6ste branching-operation, for at lette dataudslip. Gennem manipulation af historikken for overgangene skabes betingelser for en forkert forudsigelse af overgangen ved spekulativ udf\u00f8relse af instruktioner. Angrebsemmets opgave er, at adressen til overgangen under udf\u00f8relsen af den spekulative branching-operation tages fra det \u00f8nskede omr\u00e5de af hukommelsen. Efter udf\u00f8relsen af den spekulative overgang forbliver den l\u00e6ste adresse fra hukommelsen i cachelaget (i form af adressen l\u00e6ses de n\u00f8dvendige data fra hukommelsen for angriberen). En af metoderne til at udtr\u00e6kke information fra cachen kan anvendes til at bestemme indholdet af cachen baseret p\u00e5 analysen af \u00e6ndringen i adgangstiden til cachelagrede og ikke-cachelagrede data. <\/p>\n
Angrebsmetoderne Training Solo sigter mod at omg\u00e5 mekanismerne til isolering af udf\u00f8relsesomr\u00e5der (domain isolation), s\u00e5som IBPB, eIBRS og BHI_NO, der anvendes til at blokere angreb af Spectre-v2-typen. For eksempel sikrer instruktionen IBPB (Indirect Branch Prediction Barriers) nulstilling af tilstanden i pr\u00e6diktionsblokken ved hvert kontekstskift \u2014 ved overf\u00f8rsel af kontrol mellem brugerrum og kerne eller mellem g\u00e6stesystem og v\u00e6rtsmilj\u00f8. Nulstillingen af tilstanden blokerer muligheden for at bruge egen kode til at p\u00e5virke adf\u00e6rden af pr\u00e6diktionsblokken for indirekte grene. <\/p>\n
Forskellene mellem Training Solo-metoderne ligger i, at man for at p\u00e5virke overgangen til pr\u00e6diktionsblokken ikke foresl\u00e5r at k\u00f8re kode, der er under angriberens kontrol, men bruger kode, der allerede findes i den privilegerede udf\u00f8relsesomr\u00e5de (kerne eller hypervisor), hvis l\u00e6kager angriberen kan opn\u00e5. Ellers ligner metoderne et klassisk Spectre-v2-angreb. Derudover identificerede forskerne to hardwarefejl (CVE-2024-28956 og CVE-2025-24495), som fuldst\u00e6ndig kan omg\u00e5 isoleringen af udf\u00f8relsesomr\u00e5der og muligg\u00f8re l\u00e6kager fra processer fra andre brugere, andre g\u00e6stesystemer eller v\u00e6rtmilj\u00f8et.
<\/center> <\/p>\n
Der foresl\u00e5s tre typer angreb med Training Solo: <\/p>\n
\n
Forvridning af logikken i pr\u00e6diktionsafgange ved at kalde allerede eksisterende sekvenser af kommandoer (gadgets) i kernen, som p\u00e5virker indholdet af bufferhistorikken. Som s\u00e5danne gadgets foresl\u00e5s mekanismen til begr\u00e6nsning af adgang til systemopkald SECCOMP, som tillader falske indirekte overgange i spekulativ tilstand gennem substitution af ens egne BPF-filtre (filtre i SECCOMP defineres ved hj\u00e6lp af klassisk cBPF, som er sl\u00e5et til som standard i mods\u00e6tning til eBPF). Under tests p\u00e5 Intel CPU-modellerne Tiger Lake og Lion Cove var hastigheden for l\u00e6kagen ved brug af denne metode 1,7 KB\/s.\n
Brug af IP-kollisionsmetoden (Instruction Pointer) i pr\u00e6diktionsblokken. Angriberen kan skabe betingelser, hvor adressen for den spekulative overgang kun v\u00e6lges baseret p\u00e5 den allerede eksisterende adresse i bufferet, uden at tage hensyn til historikken for overgange. Ideen er, at en indirekte overgang kan p\u00e5virke en anden, hvis der opst\u00e5r en kollision ved opbevaring af hasherne af deres adresser i BTB (Branch Target Buffer).\n
Brugen af direkte grenes indflydelse p\u00e5 pr\u00e6diktionssystemet for indirekte grene. Denne adf\u00e6rd skyldes to hardware-s\u00e5rbarheder: CVE-2024-28956 \u2014 ITS (Indirect Target Selection) og CVE-2025-24495 \u2014 et problem i Intel CPU'er med Lion Cove-kerner. Data l\u00e6kkehastigheden fra hukommelsen ved brug af denne metode var 17 KB\/sec. I den viste udnyttelse til bestemmelse af hash-v\u00e6rdien af root-brugerens adgangskode, som blev gemt i hukommelsen efter kaldet til kommanden \u00abpasswd -s\u00bb, blev der brugt 60 sekunder. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n