L1DES (CacheOut) und VRS – neue Sicherheitsanfälligkeiten in Mikroarchitekturen von Intel-CPUs

Intel-Unternehmen hat enthüllt Informationen zu zwei neuen Schwachstellen in der CPU Intel, verursacht durch Datenlecks aus dem L1D-Cache (CVE-2020-0549, L1DES – L1D Eviction Sampling) und Vektorregistern (CVE-2020-0548, VRS – Vector Register Sampling). Die Schwachstellen gehören zur Kategorie MDS (Microarchitectural Data Sampling) und basieren auf Methoden der Analyse über Seitenkanäle auf Daten in mikroarchitektonischen Strukturen. AMD, ARM und andere Prozessoren sind nicht betroffen.

Die größte Gefahr stellt die Schwachstelle L1DES dar, die die Möglichkeit bietet, Blöcke von zwischengespeicherten Daten (Cache-Zeile), die aus dem L1D-Cache verdrängt wurden, im Fill Buffer abzuspeichern, der zu diesem Zeitpunkt leer sein sollte. Zur Bestimmung der im Fill Buffer abgesetzten Daten kommen Methoden der Analyse über Seitenkanäle zur Anwendung, die zuvor in Angriffen vorgeschlagen wurden MDS (Microarchitectural Data Sampling) und TAA (Transactional Asynchronous Abort). Der Ansatz zur Abwehr von
MDS und TAA bestand darin, die mikroarchitektonischen Puffer vor einem Kontextwechsel zu bereinigen, jedoch stellte sich heraus, dass unter bestimmten Bedingungen Daten spekulativ in die Puffer nach der Bereinigung zurückgeschrieben werden, weshalb die Methoden MDS und TAA weiterhin anwendbar bleiben.

Infolgedessen kann ein Angreifer feststellen, welche aus dem ersten Cache-Level verdrängten Daten während der Ausführung einer Anwendung verändert wurden, die zuvor den aktuellen CPU-Kern beanspruchte, oder Anwendungen, die parallel in anderen logischen Threads (Hyperthreading) auf demselben CPU-Kern ausgeführt werden (die Deaktivierung von Hyperthreading mindert die Effektivität des Angriffs). Im Gegensatz zum Angriff L1TF, erlaubt L1DES nicht die Auswahl bestimmter physischer Adressen zur Überprüfung, sondern ermöglicht es passiv, die Aktivität in anderen logischen Threads zu verfolgen, die mit dem Laden oder Speichern von Werten im Speicher verbunden ist.

Basierend auf L1DES haben verschiedene Forschungsteams mehrere Angriffsvarianten entwickelt, die potenziell vertrauliche Informationen aus anderen Prozessen, dem Betriebssystem, virtuellen Maschinen und geschützten SGX-Enklaven extrahieren können.

• Das VUSec-Team hat die RIDL-Angriffsmethode für die Schwachstelle L1DES angepasst. Ein Prototyp des Exploits ist verfügbar. Prototyp eines Exploits, der unter anderem die von Intel vorgeschlagene MDS-Schutzmethode umgeht, die auf der Verwendung der VERW-Anweisung basiert, um den Inhalt mikroarchitektonischer Puffer beim Rückkehr aus dem Kernel in den Benutzermodus oder bei der Steuerübergabe an das Gastbetriebssystem zu löschen (Forscher bestanden zunächst darauf, dass die Verwendung von VERW (Löschung mikroarchitektonischer Puffer) zum Schutz nicht ausreichend ist und ein vollständiger Rücksetzen des L1-Caches bei jedem Kontextwechsel erforderlich ist).
• Team ZombieLoad aktualisierte ihre Angriffsmethode unter Berücksichtigung der L1DES-Schwachstelle.
• Forscher der University of Michigan entwickelten ihre eigene Angriffsmethode CacheOut (PDF), die es ermöglicht, vertrauliche Informationen aus dem Betriebssystemkern, virtuellen Maschinen und geschützten SGX-Enklaven zu extrahieren. Die Methode basiert auf Manipulationen mit dem Mechanismus für asynchrone Unterbrechungsoperationen (TAA, TSX Asynchronous Abort), um den Inhalt des Puffers nach einem Datenleck aus dem L1D-Cache zu bestimmen.
  

Die zweite Schwachstelle VRS (Vector Register Sampling) steht im Zusammenhang mit einem Leak in den Speicherpuffern (Store Buffer) bei Lesevorgängen aus Vektorregistern, die bei der Ausführung von Vektorbefehlen (SSE, AVX, AVX-512) auf demselben CPU-Kern geändert wurden. Das Leak tritt unter ausreichend seltenen Umständen auf und wird dadurch verursacht, dass eine spekulativ durchgeführte Operation, die den Zustand der Vektorregister im Speicherpuffer widerspiegelt, verzögert wird und nach der Löschung des Puffers abgeschlossen wird, nicht davor. Ähnlich wie bei der L1DES-Schwachstelle kann der Inhalt des Speicherpuffers dann mittels der MDS- und TAA-Angriffsverfahren bestimmt werden.

Forscher der VUSec-Gruppe haben vorbereitet Prototyp eines Exploits, der es ermöglicht, Werte von Vektorregistern zu bestimmen, die das Ergebnis von Berechnungen in einem anderen logischen Thread desselben CPU-Kerns sind. Das Unternehmen Intel bewertete die VRS-Schwachstelle als zu komplex für die Durchführung realer Angriffe und vergab ein minimales Gefährdungsniveau von 2,8 CVSS.

Informationen zu den Problemen wurden im Mai 2019 von dem Team Zombieload der Technischen Universität Graz (Österreich) und der Gruppe VUSec der Vrije Universiteit Amsterdam an Intel übermittelt. Nach der Analyse anderer Angriffsvektoren der MDS-Attacke wurden die Schwachstellen von einigen weiteren Forschern bestätigt. Im ersten MDS-Bericht wurde die Information über die Probleme L1DES und VRS aufgrund des Fehlens eines Patches nicht aufgenommen. Ein Patch ist auch jetzt noch nicht verfügbar, aber die angegebenen Fristen für die Geheimhaltung sind abgelaufen.
Als vorläufige Schutzmaßnahmen wird empfohlen, HyperThreading zu deaktivieren. Um die Schwachstelle auf der Kernel-Seite zu blockieren, wird vorgeschlagen, den L1-Cache bei jedem Kontextwechsel zu leeren (MSR-Bit MSR_IA32_FLUSH_CMD) und die TSX-Erweiterung zu deaktivieren (MSR-Bits MSR_IA32_TSX_CTRL und MSR_TSX_FORCE_ABORT).

Intel verspricht bald ein Microcode-Update mit Implementierungen zur Blockierung der Probleme herauszugeben. Intel weist auch darauf hin, dass die in 2018 vorgeschlagenen Schutzmaßnahmen gegen den L1TF (L1 Terminal Fault) die Ausbeutung der L1DES-Schwachstelle aus virtuellen Umgebungen verhindern können. Der Angriff ist anfällig für Intel Core-Prozessoren der sechsten Generation (Sky, Kaby, Coffee, Whiskey, Amber Lake usw.) sowie einige Modelle von Intel Xeon und Xeon Scalable.

Zusätzlich kann vermerkt werden Verbesserung des Exploits, der es ermöglicht, Angriffsverfahren anzuwenden, RIDL um den Inhalt des Root-Passworthashes aus /etc/shadow bei periodischen Authentifizierungsversuchen zu ermitteln. Wenn der ursprünglich vorgeschlagene Exploit den Passwort-Hash innerhalb von 24 Stundenbestimmte, führte die Anwendung von Lecks beim Arbeiten mit asynchronen Interrupt-Operationen (TAA, TSX Asynchronous Abort) zu einer ähnlichen Operation innerhalb von 36 Sekunden, so führt die neue Variante den Angriff innerhalb von 4 Sekunden durch.

Quelle: opennet.ru