BadRAM-Angriff zur Umgehung des SEV-SNP-Zertifizierungsmechanismus in AMD-CPUs

Ein Forscherteam der Universität Leuven, der Universität Lübeck und der Universität Birmingham hat eine BadRAM-Angriffsmethode (CVE-2024-21944) entwickelt, die den Authentifizierungsmechanismus umgehen und Umgebungen gefährden kann, die mit der SEV-SNP-Erweiterung auf AMD geschützt sind Prozessoren. Um einen Angriff durchzuführen, muss ein Angreifer, von seltenen Ausnahmen abgesehen, physischen Zugriff auf Speichermodule erhalten und außerdem in der Lage sein, Code auf der Ebene des Sicherheitsrings Null (ring0) auf dem Server auszuführen, auf dem geschützte Gastumgebungen laufen.

AMD SEV-Erweiterungen (Secure Encrypted Virtualization) zielen darauf ab, Garantien für die Integrität des Speichers virtueller Maschinen zu bieten und sie vor Manipulation und Analyse durch einen Hostsystemadministrator zu schützen, der Code auf Hypervisor-Ebene ausführen kann. Anfangs beschränkte sich der AMD SEV-Schutz auf die Verschlüsselung des Gastspeicherinhalts und die Registerisolierung. Später implementierten AMD EPYC-Prozessoren jedoch zusätzlich die SEV-SNP-Erweiterung (Secure Nested Paging) für den sicheren Betrieb verschachtelter Speicherseitentabellen, wodurch die Speicherintegrität gewährleistet und Änderungen verhindert wurden in den Speicher des Gastsystems von der Hypervisor-Seite.

Der AMD SEV-SNP-Mechanismus wurde entwickelt, um sicherzustellen, dass Geheimdienste oder Mitarbeiter von Rechenzentren und Cloud-Anbietern, die geschützte Gastsysteme betreiben, den Betrieb des Gastsystems nicht beeinträchtigen können. Die vorgeschlagene BadRAM-Angriffsmethode ermöglicht es, die bereitgestellten Garantien zu umgehen, indem die SPD-Metadaten (Serial Presence Detect) in DDR4- oder DDR5-Speichermodulen geändert werden. Bei einem erfolgreichen Angriff kann ein Angreifer verschlüsselte Daten im Speicher des Gastsystems überschreiben (auf Chiffretextebene, ohne Möglichkeit der Entschlüsselung) und den Nachweismechanismus umgehen, um beispielsweise die Einführung einer Hintertür in eine geschützte virtuelle Maschine zu verbergen SEV-SNP-Technologie.

Der Angriff basiert auf der Einstellung fiktiver Parameter des Speichermoduls im SPD und zwingt den Prozessor, auf nicht vorhandene Adressen zuzugreifen, die sich in vorhandenen Speicherbereichen widerspiegeln. Ein Angreifer kann das SPD so anpassen, dass das Speichermodul eine Größe an den Prozessor zurückgibt, die über die tatsächlichen Eigenschaften des Moduls hinausgeht. Anschließend kann der Angreifer den fiktiv nicht vorhandenen Speicher auf einen realen Bereich im DRAM abbilden, der in geschützten Gastsystemen bereits verschlüsselt genutzt wird. Dadurch entsteht die Situation, dass unterschiedliche Adressen auf denselben physikalischen Speicher verweisen (zwei Bereiche werden einem Bereich im DRAM-Chip zugeordnet), d.h. Über die Adresse eines fiktiv zugeordneten Speicherbereichs können Sie auf realen, bereits genutzten Speicher zugreifen und die Speicherschutzmechanismen in der CPU umgehen.

Um einen Angriff durchzuführen, reicht es aus, einen einfachen Programmierer für etwa 10 US-Dollar zusammenzubauen, der aus einem Raspberry Pi Pico-Mikrocontroller, einem Anschluss für DDR4/DDR5-Module und einem Netzteil besteht. Die zur Durchführung des Angriffs verwendeten Dienstprogramme, das Kernel-Modul und Exploit-Prototypen werden auf GitHub veröffentlicht.

Bei Chips bestimmter Hersteller, die keine SPD-Überschreibungssperre implementieren, ist ein Softwareangriff ohne physischen Zugriff auf den Server möglich. Beispielsweise lassen sich die Parameter von Corsair RGB-Speichermodulen per Software verändern. Im Falle eines rein softwarebasierten Angriffs kann das System beispielsweise durch ein manipuliertes BIOS-Update oder durch Sabotage seitens der Administratoren kompromittiert werden. Server in Cloud-Diensten.

Zwei Angriffe werden demonstriert, um zu bestätigen, dass die Methode funktioniert. Der erste Angriff demonstriert die Fähigkeit, Chiffretext abzuspielen – bei Verwendung von AMD SEV werden die Daten im Speicher in verschlüsselter Form gespeichert und der Angreifer kann den Inhalt nicht ermitteln, ist aber in der Lage, die verschlüsselten Daten zu lesen und sie dann durch andere verschlüsselte Inhalte zu ersetzen.

Der zweite Angriff demonstrierte die Möglichkeit, den SEV-SNP-Bestätigungsmechanismus zu umgehen, der eine kryptografische Bestätigung der Integrität einer virtuellen Maschine liefert, die in einer sicheren Umgebung ausgeführt wird. Ein Angreifer kann den Attestierungsbericht einer gültigen virtuellen Maschine abfangen und ihn dann durch eine kompromittierte virtuelle Maschine ersetzen, um beispielsweise Spuren einer Hintertür zu verbergen.

Das Problem betrifft die 3. und 4. Generation der Prozessoren der AMD EPYC-Serie, die unter den Codenamen Milan, Milan-X, Genoa, Bergamo, Genoa-X und Siena angeboten werden. Um die Schwachstelle zu blockieren, hat AMD bereits ein Firmware-Update für SEV veröffentlicht, das die ALIAS_CHECK-Prüfung implementiert, die eine mit dem betreffenden Angriff verbundene Speichermanipulation verhindert.

Die von Intel angebotenen Scalable SGX- und TDX-Technologien sind nicht anfällig für Angriffe, da die notwendigen Prüfungen in ihnen von Anfang an vorhanden sind. Die klassische Intel SGX-Technologie, die 2021 von Intel obsolet gemacht wurde, ist teilweise angreifbar (ähnlich wie beim bisher bekannten MemBuster-Angriff kann ein Angreifer den Zugriff auf verschlüsselten Speicher analysieren, d. h. nur das Lesen des Chiffretextes ist möglich, nicht jedoch das Umschreiben). Es) . CCA-Erweiterungen (Confidential Compute Architecture) wurden nicht auf ARM-Prozessoren getestet.

Es wurde eine weitere Sicherheitslücke im Zusammenhang mit AMD SEV-SNP gemeldet. Die Sicherheitslücke wurde in einer von AMD entwickelten Abspaltung des QEMU-Emulators entdeckt, der für die Ausführung von … konzipiert ist. virtuelle Maschinen Mit SEV-SNP. Das Problem ermöglicht es einem Host-Administrator, durch Manipulation von ACPI-Tabellen Root-Zugriff auf Gastsysteme zu erlangen. Die Schwachstelle entsteht durch eine Kernel-Integritätsprüfung, die während des Starts des Gastsystems durchgeführt wird. LinuxDie anfängliche RAM-Disk und Kernelparameter werden zwar berücksichtigt, jedoch nicht die ACPI-Tabellen, die der Hypervisor verwenden kann, um speziell formatierten AML-Code (ACPI Machine Language) für die Ausführung in der Gastumgebung bereitzustellen. Es wird behauptet, dass das Problem nicht spezifisch für QEMU ist und bei jedem Hypervisor oder Emulator auftritt, da der Kernel Linux vertraut allen vom Hypervisor empfangenen ACPI-Daten.

Source: opennet.ru