{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2013 neue Angriffsvarianten von Spectre-v2, die CPU Intel betreffen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine Forschungsgruppe der Vrije Universiteit Amsterdam hat mehrere neue Spectre-v2-Schwachstellen entdeckt, die unter dem Codenamen Training Solo ver\u00f6ffentlicht wurden und es erm\u00f6glichen, die Speicherisolationsmechanismen zu umgehen. Im Kontext von Virtualisierungssystemen erlauben diese Schwachstellen das Auslesen des Inhalts des Host-Speichers aus Gastsystemen und im Kontext von Servern das Auslesen des Kernspeichers w\u00e4hrend der Ausf\u00fchrung eines Exploits im Benutzerspeicher. Beispiele f\u00fcr Exploits zur Durchf\u00fchrung solcher Angriffe sind auf GitHub ver\u00f6ffentlicht. Die bereitgestellten Exploits erm\u00f6glichen das Auslesen beliebiger Daten aus dem Kernspeicher mit einer Geschwindigkeit von 17 KB\/s und aus dem Hypervisor-Speicher mit 8,5 KB\/s. <\/p>\n
Bei Spectre-v2-Angriffen wird zur Organisierung eines Datenlecks eine Wertsetzung im Branch Target Buffer oder im Branch History Buffer eingesetzt, die zur Vorhersage der n\u00e4chsten Branch-Operation verwendet werden. Durch Manipulation der Branch-Historie entstehen Bedingungen f\u00fcr falsche Vorhersagen bei spekulativer Abarbeitung von Anweisungen. Die Aufgabe des Angreifers besteht darin, dass bei der Abarbeitung einer spekulativen Branch-Operation die Zieladresse aus dem gew\u00fcnschten Speicherbereich entnommen wird. Nach dem spekulativen \u00dcbergang bleibt die aus dem Speicher gelesene Adresse im Cache des Prozessors zur\u00fcck (in Form einer Adresse werden die f\u00fcr den Angreifer ben\u00f6tigten Daten aus dem Speicher gelesen). Um Informationen aus dem Cache zu extrahieren, kann eine der Methoden zur Bestimmung des Cache-Inhalts basierend auf der Analyse der Zugriffszeiten zu gecachten und ung gecachten Daten verwendet werden. <\/p>\n
Die Angriffsmethoden von Training Solo zielen darauf ab, die Isolation von Ausf\u00fchrungsbereichen (Domain Isolation) zu umgehen, wie z.B. IBPB, eIBRS und BHI_NO, die eingesetzt werden, um Spectre-v2-Angriffe zu blockieren. Beispielsweise sorgt der IBPB-Befehl (Indirect Branch Prediction Barriers) daf\u00fcr, dass der Zustand des Vorhersageblocks bei jedem Kontextwechsel zur\u00fcckgesetzt wird \u2013 beim Wechsel zwischen Benutzermodus und Kernel oder zwischen Gastsystem und Host-Umgebung. Der Zustandsreset blockiert die M\u00f6glichkeit, eigenen Code zu verwenden, um das Verhalten des Blocks f\u00fcr die indirekte Sprungvorhersage zu beeinflussen. <\/p>\n
Die Unterschiede der Training Solo-Methoden bestehen darin, dass zur Beeinflussung des \u00dcbergangsprognoseblocks vorgeschlagen wird, keinen kontrollierten Angreifercode auszuf\u00fchren, sondern bereits vorhandenen Code auf der privilegierten Ausf\u00fchrungsseite (Kernel oder Hypervisor) zu nutzen, aus dessen Leak der Angreifer profitiert. Ansonsten \u00e4hneln die Methoden einem klassischen Spectre-v2-Angriff. Dar\u00fcber hinaus haben die Forscher zwei Hardwareprobleme (CVE-2024-28956 und CVE-2025-24495) identifiziert, die es erm\u00f6glichen, die Isolation der Ausf\u00fchrungsbereiche vollst\u00e4ndig zu umgehen undLeaks aus Prozessen anderer Benutzer, anderer Gastbetriebssysteme oder der Hostumgebung zu realisieren.
<\/center> <\/p>\n
Es wurden drei Arten von Training Solo-Angriffen vorgeschlagen: <\/p>\n
\n
Verzerrung der Logik der Vorhersage von Spr\u00fcngen durch den Aufruf bereits im Kern vorhandener Befehlsfolgen (Gadgets), die den Inhalt des Verlaufsbuffers beeinflussen. Als solche Gadgets wird der Zugriffskontrollmechanismus f\u00fcr Systemaufrufe SECCOMP vorgeschlagen, der es erm\u00f6glicht, durch substitution eigene BPF-Filter einen falschen indirekten Sprung im spekulativen Modus zu erzielen (Filter in SECCOMP werden mittels klassischem cBPF festgelegt, welches standardm\u00e4\u00dfig aktiviert ist, im Gegensatz zu eBPF). Bei Tests auf Intel Tiger Lake und Lion Cove betrug die Geschwindigkeit des Lecks bei Verwendung dieser Methode 1,7 KB\/s.\n
Verwendung von IP-Kollisionen (Instruction Pointer) im Sprungvorhersageblock. Ein Angreifer kann Bedingungen schaffen, unter denen die Adresse f\u00fcr den spekulativen Sprung nur basierend auf der bereits im Buffer vorhandenen Sprungadresse ausgew\u00e4hlt wird, ohne die Historie der Spr\u00fcnge zu ber\u00fccksichtigen. Die Idee ist, dass eine indirekte Sprungoperation eine andere beeinflussen kann, wenn eine Kollision bei der Speicherung ihrer Adress-Hashes im BTB (Branch Target Buffer) auftritt.\n
Die Ausnutzung der direkten Spr\u00fcnge zur Beeinflussung der indirekten Sprungvorhersage. Dieses Verhalten wird durch zwei Hardware-Schwachstellen verursacht: CVE-2024-28956 \u2013 ITS (Indirect Target Selection) und CVE-2025-24495 \u2013 ein Problem mit Intel-CPUs der Lion Cove-Kerne. Die Datenleckgeschwindigkeit beim Einsatz dieser Methode betrug 17 KB\/s. Im demonstrierten Exploit zur Bestimmung des Hashs des Benutz Passworts root, das im Speicher nach dem Aufruf des Befehls \u201epasswd -s\u201c gespeichert wurde, wurden 60 Sekunden ben\u00f6tigt. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n