{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2014 neue Angriffsm\u00f6glichkeiten von Spectre-v2, die CPU Intel betreffen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine Gruppe von Forschern der Freien Universit\u00e4t Amsterdam hat mehrere neue Spectre-v2-Sicherheitsanf\u00e4lligkeiten entdeckt, die unter dem Codenamen Training Solo ver\u00f6ffentlicht wurden und es erm\u00f6glichen, die Mechanismen der Speicherschutzisolierung zu umgehen. Im Kontext von Virtualisierungssystemen erlauben diese Anf\u00e4lligkeiten den Zugriff auf den Inhalt des Host-Speichers von Gastsystemen aus, w\u00e4hrend sie in Bezug auf Server es erm\u00f6glichen, den Inhalt des Kernel-Speichers w\u00e4hrend der Ausf\u00fchrung eines Exploits im Benutzerspeicher zu bestimmen. Beispiele f\u00fcr Exploits zur Durchf\u00fchrung solcher Angriffe wurden auf GitHub ver\u00f6ffentlicht. Die vorgestellten Exploits erm\u00f6glichen das Extrahieren beliebiger Daten aus dem Kernel-Speicher mit einer Geschwindigkeit von 17 KB\/s und aus dem Hypervisor-Speicher mit 8,5 KB\/s. <\/p>\n
Bei Spectre-v2-Angriffen wird zur Datenleckage die Manipulation von Werten im Branch Target Buffer oder dem Branch History Buffer verwendet, die f\u00fcr die Vorhersage der n\u00e4chsten Verzweigungsoperationen zust\u00e4ndig sind. Durch Manipulationen an der Historie der \u00dcberg\u00e4nge werden Bedingungen f\u00fcr Fehlvorhersagen bei spekulativer Ausf\u00fchrung von Anweisungen geschaffen. Das Ziel des Angreifers ist es, bei der spekulativen Verzweigungsoperation die Adresse f\u00fcr den \u00dcbergang aus dem gew\u00fcnschten Speicherbereich zu entnehmen. Nach der Ausf\u00fchrung des spekulativen \u00dcbergangs verbleibt die aus dem Speicher gelesene \u00dcbergangsadresse im Prozessorcache (die ben\u00f6tigten Daten des Angreifers werden unter dem Vorwand der Adresse gelesen). Zur Extraktion von Informationen aus dem Cache kann ein Verfahren verwendet werden, das den Inhalt des Caches anhand der Analyse der Zugriffszeiten auf zwischengespeicherte und nicht zwischengespeicherte Daten bestimmt. <\/p>\n
Die Ausbildungsangriffe Training Solo zielen darauf ab, die Mechanismen zur Isolation von Ausf\u00fchrungsbereichen (Domain Isolation) zu umgehen, wie IBPB, eIBRS und BHI_NO, die zum Blockieren von Spectre-v2-Angriffen verwendet werden. Zum Beispiel sorgt der Befehl IBPB (Indirect Branch Prediction Barriers) daf\u00fcr, dass der Zustand des Vorhersageblocks bei jedem Kontextwechsel zur\u00fcckgesetzt wird \u2014 beim Wechsel der Kontrolle zwischen Benutzerspeicher und Kernel oder zwischen dem Gastsystem und der Host-Umgebung. Das Zur\u00fccksetzen des Zustands blockiert die M\u00f6glichkeit, eigenen Code zu verwenden, um das Verhalten des Vorhersageblocks f\u00fcr indirekte Spr\u00fcnge zu beeinflussen. <\/p>\n
Die Methoden von Training Solo unterscheiden sich darin, dass zur Beeinflussung des Vorhersageblocks f\u00fcr Spr\u00fcnge kein vom Angreifer kontrollierter Code ausgef\u00fchrt wird, sondern bereits vorhandener Code aus dem privilegierten Ausf\u00fchrungsbereich (Kernel oder Hypervisor) verwendet wird, den der Angreifer ausnutzt. Ansonsten \u00e4hneln die Methoden einem klassischen Spectre-v2-Angriff. Dar\u00fcber hinaus haben die Forscher zwei Hardware-Probleme (CVE-2024-28956 und CVE-2025-24495) identifiziert, die es erm\u00f6glichen, die Isolation der Ausf\u00fchrungsbereiche vollst\u00e4ndig zu umgehen und Lecks aus Prozessen anderer Benutzer, anderer Gastsysteme oder der Host-Umgebung zu realisieren.
<\/center> <\/p>\n
Es werden drei Arten von Angriffen im Training Solo vorgeschlagen: <\/p>\n
\n
Verzerrung der Logik zur Vorhersage von Spr\u00fcngen durch den Aufruf bereits existierender Befehlsequenzen (Gadgets) im Kernel, die den Inhalt des Sprunghistorienpuffers beeinflussen. Als solche Gadgets wird ein Zugriffsbeschr\u00e4nkungsmechanismus f\u00fcr Systemaufrufe (SECCOMP) vorgeschlagen, der es erm\u00f6glicht, durch Substitution eigener BPF-Filter einen falschen indirekten Sprung im spekulativen Modus zu erreichen (Filter in SECCOMP werden mit klassischem cBPF gesetzt, das standardm\u00e4\u00dfig aktiviert ist, im Gegensatz zu eBPF). Bei Tests auf CPUs von Intel Tiger Lake und Lion Cove betrug die Leckrate bei Verwendung dieser Methode 1,7 KB\/s.\n
Verwendung von IP-Kollisionen (Instruction Pointer) im Block zur Vorhersage von Spr\u00fcngen. Der Angreifer kann Bedingungen schaffen, unter denen die Adresse f\u00fcr den spekulativen Sprung nur auf Basis der bereits im Puffer vorhandenen Sprungadresse ausgew\u00e4hlt wird, ohne die Sprunggeschichte zu ber\u00fccksichtigen. Die Idee ist, dass eine indirekte Sprungoperation eine andere beeinflussen kann, wenn es eine Kollision bei der Speicherung der Hashes ihrer Adressen im BTB (Branch Target Buffer) gibt.\n
Die Einflussnahme von direkten Spr\u00fcngen auf die Vorhersage indirekter Spr\u00fcnge. Dieses Verhalten wird durch zwei Hardwareanf\u00e4lligkeiten verursacht: CVE-2024-28956 \u2014 ITS (Indirect Target Selection) und CVE-2025-24495 \u2014 ein Problem mit Intel-CPUs der Lion Cove-Architektur. Die Geschwindigkeit des Datenlecks aus dem Speicher bei Verwendung dieser Methode betrug 17 KB\/s. Im demonstrierten Exploit zur Bestimmung des Hashs des Root-Passworts, das im Speicher nach dem Aufruf des Befehls \u201epasswd -s\u201c gespeichert wurde, wurden 60 Sekunden ben\u00f6tigt. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n