{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2014 nuevas variantes de ataque Spectre-v2 que afectan a CPU Intel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un grupo de investigadores de la Universidad Libre de \u00c1msterdam ha descubierto varias nuevas vulnerabilidades de la clase Spectre-v2, divulgadas bajo el nombre en clave Training Solo, que permiten eludir los mecanismos de aislamiento de la memoria. En el contexto de los sistemas de virtualizaci\u00f3n, estas vulnerabilidades permiten determinar el contenido de la memoria del entorno host desde sistemas invitados, y en el contexto de los servidores, permiten identificar el contenido de la memoria del n\u00facleo al ejecutar un exploit en el espacio de usuario. Ejemplos de exploits para llevar a cabo tales ataques han sido publicados en GitHub. Los exploits presentados permiten extraer datos arbitrarios de la memoria del n\u00facleo a una velocidad de 17 KB\/s, y de la memoria del hipervisor a 8.5 KB\/s. <\/p>\n
En los ataques de la clase Spectre-v2, para organizar la fuga de datos se utiliza la inserci\u00f3n de valores en el b\u00fafer de direcciones de ramificaci\u00f3n (Branch Target Buffer) o el b\u00fafer de historial de ramificaciones (Branch History Buffer), que se utilizan para predecir la siguiente operaci\u00f3n de ramificaci\u00f3n. A trav\u00e9s de manipulaciones con el historial de ramificaciones se crean condiciones para una predicci\u00f3n incorrecta de la ramificaci\u00f3n durante la ejecuci\u00f3n especulativa de instrucciones. La tarea del atacante es que, al realizar una operaci\u00f3n especulativa de ramificaci\u00f3n, la direcci\u00f3n de la ramificaci\u00f3n provenga de la zona de memoria deseada. Despu\u00e9s de ejecutar la ramificaci\u00f3n especulativa, en la cach\u00e9 del procesador queda la direcci\u00f3n de la ramificaci\u00f3n le\u00edda de la memoria (los datos necesarios para el atacante se leen como si fueran una direcci\u00f3n). Para extraer informaci\u00f3n de la cach\u00e9 se puede aplicar uno de los m\u00e9todos de determinaci\u00f3n del contenido de la cach\u00e9 basado en el an\u00e1lisis del cambio en el tiempo de acceso a los datos almacenados y no almacenados en cach\u00e9. <\/p>\n
Los m\u00e9todos de ataque Training Solo apuntan a eludir los mecanismos de aislamiento de las \u00e1reas de ejecuci\u00f3n (domain isolation), como IBPB, eIBRS y BHI_NO, que se utilizan para bloquear ataques de la clase Spectre-v2. Por ejemplo, la instrucci\u00f3n IBPB (Indirect Branch Prediction Barriers) garantiza el restablecimiento del estado de la unidad de predicci\u00f3n de saltos cada vez que se produce un cambio de contexto, es decir, al transferir el control entre el espacio de usuario y el n\u00facleo o entre el sistema invitado y el entorno host. El restablecimiento del estado bloquea la posibilidad de utilizar un c\u00f3digo propio para influir en el comportamiento de la unidad de predicci\u00f3n de saltos indirectos. <\/p>\n
Las diferencias de los m\u00e9todos Training Solo radican en que, para influir en el bloque de predicci\u00f3n de saltos, se propone no ejecutar c\u00f3digo controlado por el atacante, sino utilizar c\u00f3digo ya presente en la zona privilegiada de ejecuci\u00f3n (n\u00facleo o hipervisor), del cual el atacante obtiene filtraciones. En otros aspectos, los m\u00e9todos son similares a un ataque cl\u00e1sico Spectre-v2. Adem\u00e1s, los investigadores han identificado dos problemas de hardware (CVE-2024-28956 y CVE-2025-24495) que permiten eludir completamente la aislamiento de las \u00e1reas de ejecuci\u00f3n y lograr filtraciones de procesos de otros usuarios, otros sistemas invitados o del entorno de host.
<\/center> <\/p>\n
Se proponen tres tipos de ataques Training Solo: <\/p>\n
\n
Distorsi\u00f3n de la l\u00f3gica de predicci\u00f3n de saltos mediante la invocaci\u00f3n de secuencias de comandos (gadgets) ya existentes en el n\u00facleo, que afectan el contenido del b\u00fafer con el historial de saltos. Como tales gadgets se propone utilizar el mecanismo de restricci\u00f3n de acceso a llamadas del sistema SECCOMP, que permite lograr un falso salto indirecto en modo especulativo mediante la sustituci\u00f3n de sus filtros BPF (los filtros en SECCOMP se establecen utilizando el cl\u00e1sico cBPF, activado por defecto en lugar del eBPF). Durante las pruebas en CPU Intel Tiger Lake y Lion Cove, la velocidad de filtraci\u00f3n utilizando este m\u00e9todo fue de 1.7KB\/sec.\n
Uso de colisiones de direcci\u00f3n de instrucci\u00f3n (Instruction Pointer) en el bloque de predicci\u00f3n de saltos. El atacante puede crear condiciones en las que la direcci\u00f3n de un salto especulativo se elija \u00fanicamente en funci\u00f3n de la direcci\u00f3n ya presente en el b\u00fafer, sin tener en cuenta el historial de saltos. La idea es que una operaci\u00f3n de salto indirecto puede influir en otra si se produce una colisi\u00f3n al almacenar los hash de sus direcciones en el BTB (Branch Target Buffer).\n
El uso de la influencia de saltos directos en la predicci\u00f3n de saltos indirectos. Este comportamiento es causado por dos vulnerabilidades de hardware: CVE-2024-28956 \u2014 ITS (Indirect Target Selection) y CVE-2025-24495 \u2014 un problema en la CPU Intel con n\u00facleos Lion Cove. La velocidad de filtraci\u00f3n de datos desde la memoria al utilizar este m\u00e9todo fue de 17 KB\/s. En el exploit demostrado para determinar el hash de la contrase\u00f1a del usuario root, guardada en memoria despu\u00e9s de ejecutar el comando \u00abpasswd -s\u00bb, se invirtieron 60 segundos. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n