Retbleed — uus rünnak Intel ja AMD CPU spekuleeriva täitmise mehhanismi vastu

Zürichi Tehnikaülikooli teadlaste rühm avastas uue rünnaku variandi protsessorite spekulatiivse täitmise mehhanismile, mis võimaldab tuvastada teavet tuumamälu kohta või korraldada rünnakuid host-süsteemidele virtuaalmasinatest. Rikked on saanud koodinimeks Retbleed (CVE-2022-29900, CVE-2022-29901) ja on olemuselt sarnased Spectre-v2 rünnakutele. Erinevus seisneb spekulatiivse täitmise korraldamises juhiseks oleva „ret” (return) käsu töötlemisel, mis otsib aadressi virnast, selle asemel et kasutada aadressi laadimist mälust või CPU registrist instruktsiooniga „jmp”.

Ründaja võib luua tingimused vale haruennustuse jaoks ja korraldada sihitud spekulatiivse ülemineku koodiblokki, mis ei ole programmi täitmislogikas ette nähtud. Lõpuks määrab protsessor, et haruennustus ei olnud õige ja tagastab operatsiooni esialgsesse olekusse, kuid spekulatiivse täitmise käigus töödeldud andmed jäävad mällu ja mikroarhitektuurilistesse puhverdesse. Kui vale täidetud plokk pöördub mälu poole, toob selle spekulatiivne täitmine kaasa andmete jäämise üldisesse vahemällu, sealhulgas mälu lugemisest saadud andmed.

Rünnaku korraldajad saavad kasutada kõrvalkanalitest jäänud andmete tuvastamise meetodeid, et määrata, millised andmed jäävad vahemällu pärast operatsioonide spekulatiivset täitmist, näiteks analüüsides pääsuaegade muudatusi vahemällu ja mittevahemällu salvestatud andmete vahel. Sihtotstarbeliseks teabe saamiseks teistest privileegitasemetest (näiteks tuumamälust) kasutatakse „gadžeteid” - tuumasse sisalduvaid käskluste järjestusi, mis sobivad spekulatiivsete andmete lugemiseks mälust sõltuvalt välistest tingimustest, millele ründaja võib mõju avaldada.

Klassikaliste Spectre-tüüpide rünnakute kaitsmiseks, mis kasutavad tingimuslikke ja kaudseid hüppejuhiseid, rakendatakse enamikus operatsioonisüsteemides tehnoloogiat «retpoline», mille aluseks on kaudsete hüppejuhiste asendamine käsuga «ret», mille jaoks proodeklite sisse on ehitatud eraldi virna ennustade bloke. 2018. aastal retpoline'i juurutamisel arvati, et Spectre'i sarnased aadresside manipulatsioonid pole praktiliselt elujõulised spekuleerivate hüpete jaoks käsuga «ret».

Uuringu autorid, kes arendasid Retbleedi rünnakute metoodikat, demonstreerisid mikroarhitektuuriliste tingimuste loomise võimalust spekuleeriva hüppe algatamiseks käsu «ret» abil ja avaldasid valmis tööriistakomplekti, et tuvastada Linuxi tuumas potentsiaalselt haavatavaid juhiste järjestusi (gadgete), milles need tingimused ilmnevad.

Uuringu käigus valmis töötav eksploit, mis võimaldab Intel CPU-dega süsteemides privileege mitte omaval protsessil kasutajaruumi kaudu tuvastada suvalisi andmeid tuuma mälust kiirusel 219 baiti sekundis ja 98% täpsusega. AMD protsessoritel on eksploidi tõhusus palju kõrgem — andmelekke kiirus on 3.9 KB sekundis. Praktilise näitena on näidatud, kuidas soovitatud eksploitiga tuvastada faili /etc/shadow sisu. Intel CPU-dega süsteemides viidi kasutaja root parooli hash-i tuvastamise rünnak läbi 28 minutiga, samas kui AMD CPU-dega süsteemides see kestis 6 minutit.

Rünnaku võimalus on kinnitatud 6-8 põlvkonna Intel protsessorite jaoks, mis on toodetud enne 2019. aasta kolmandat kvartalit (kaasa arvatud Skylake) ja Zen 1, Zen 1+ ning Zen 2 mikroarhitektuuril põhinevate AMD protsessorite jaoks, mis on toodetud enne 2021. aasta teist kvartalit. Uuemates protsessorimudelites, nagu AMD Zen3 ja Intel Alder Lake, samuti ARM-i protsessorites, on probleem blokeeritud olemasolevate kaitsemehhanismide abil. Näiteks käsuridade IBRS (Indirect Branch Restricted Speculation) rakendamine aitab kaitsta rünnaku eest.

Linuxi tuuma ja Xen hüperviisori jaoks on valmis tehtud muudatuste kogum, mis blokeerib probleemid vanematel CPU-del tarkvara kaudu. Linuxi tuuma jaoks esitatud patch muudab 68 faili, lisab 1783 rida ja kustutab 387 rida. Kahjuks toob kaitse kaasa märkimisväärsed kuluülekanded - testide põhjal AMD ja Intel protsessorites hinnatakse jõudluse langust vahemikus 14% kuni 39%. Eelistatavam on rakendada kaitset, mis põhineb IBRS instruktsioonidel, mis on saadaval uutes Intel CPU põlvkondades ja mida toetatakse alates Linuxi tuuma versioonist 4.19.

Intel protsessoritel toimub aadressi asendamine spekuleeriva kaudse ülemineku jaoks tänu omadusele, mis avaldub, kui toimub ülevool aluses (underflow) steki sisestusbufferis (Return Stack Buffer). Kui sellised tingimused tekivad, hakkab 'ret' instruktsiooni puhul kehtima aadressi valiku loogika, sarnane sellele, mida kasutatakse tavaliste kaudsete üleminekute puhul. Linuxi tuumas on leitud üle tuhande koha, kus tekivad tingimused sarnase tagasivoolu algatamiseks ja mis on kergesti ligipääsetavad süsteemi kutsungite kaudu.

AMD protsessoritel toimub 'ret' instruktsiooni spekuleeriv täitmine ilma stekile omase bufferita (Return Address Stack), ning ülemineku ennustusblokki käsitleb 'ret' käsk mitte nagu juhtimise tagastamist, vaid nagu kaudset üleminekut, kasutades vastavalt kaudsete üleminekute andmeid ennustamisel. Sellistes tingimustes võib iga 'ret' operatsioon, mis on saavutatav süsteemi kutsungite kaudu, olla kasutatav ekspluateerimiseks.

Lisaks on AMD CPU-des tuvastatud veel üks probleem (CVE-2022-23825, Haru Tüüp Segadus), mis on seotud vale ülemineku läbiviimisega - ülemineku ennustamise tingimused võivad tekkida isegi ilma vajalike harudeinstruktsioonideta, mis võimaldab mõjutada ülemineku ennustusbufferit ilma 'ret' instruktsioonita. See omadus teeb kaitse rakendamise oluliselt keerulisemaks ja nõuab aktiivsemat üleminekuennustusbufferi puhastamist. Oodatakse, et kogu kaitse lisamine tuumale toob kaasa 209% kuluülekande suurenemise.

Allikas: opennet.ru