TikTag — rünnak ARM CPU spekulatiivse täitmise mehhanismi vastu, mis võimaldab mööda minna MemTag kaitset.

Seouli ülikooli ja Samsungi ettevõtte teadlaste rühm on välja töötanud ARM-protsessoritele suunatud rünnete tehnika, mille koodinimi on TikTag. Seda saab kasutada MemTag (MTE, mälumärgistamise laienduse) riistvaralise kaitse mehhanismi ületamiseks, mis on olemas ARMv8.5-A arhitektuuril põhinevates kiipides. Rünne võimaldab määrata TikTagi märkmete sisu juhuslike mäluaadresside jaoks, kuna mälulekked tekivad protsessori spetsiifiliste juhiste spekuleerimise täitmise tõttu.

MemTag tehnoloogia võimaldab siduda märke mälu aladega ja korraldada näidikute õigsuse kontrollimist, et takistada haavatavuste, mis on põhjustatud juba vabastatud mälu plokkide, mälupuhvri ülevoolu ja initsialiseerimata juurdepääsude kasutamisest. MemTag'i kasutamisel luuakse iga 16 baiti füüsilise mälu kohta 4-bitine märk, mis toimib nagu võti sellele mälule juurdepääsuks. Märk võib olla genereeritud rakenduse poolt eraldatud mälu alale spetsiaalsete CPU käskudega ja seejärel salvestatud näitaja kõrgetesse kasutamata bittidesse. Juhtides mälule märgitud näitajaga, kontrollib protsessor, kas näitajaga seotud märk vastab mälu plokkidega seotud märkidele ja lubab juurdepääsu ainult siis, kui märgid kattuvad.

Pakutud rünnakumeetod võimaldab määrata mälublokkidega seotud silte ja ületada MemTag kaitse. Uurijad on demonstreerinud võimalust teostada TikTag rünnak, kasutades Linuxi tuumas ja Chrome'i brauseris esinevaid haavatavusi, rakendades olemasolevaid tooteid teie kasutuses olevaid käske (gadgetid), mis viivad spekulatiivse koodi täitmiseni. Sellised gadgetid, kui neid täidetakse spekulatiivse koodina, töötades näidikutega, põhjustavad MemTagi metsade lugemise sõltuvalt välisvõimetest, millele ründaja võib mõju avaldada. Pärast vale prognoosi määratlemist loobutakse spekulatiivse täitmise tulemusest, kuid saadud andmed jäävad vahemällu ja neid saab hiljem välja võtta kolmandate osapoolte analüüsi abil. MemTagi kaitse edukas ületamise tõenäosus katsetes on hinnatud 95%-ks, rünnaku teostamisel umbes 4 sekundi jooksul.

Tuvastati kaks tüüpi vidinaid, mis põhjustavad MemTagi silditeabe lekke. Esimesel juhul tekib spekulatiivne täitmine vale hargnemise prognoosimise tõttu, samas kui vidina täitmise tingimused võivad tekkida süsteemikõnede manipuleerimise kaudu. Teisel juhul
tekib spekulatiivne täitmine, kuna prognoosi viga lugemise ja kirjutamise operatsioonide vahelise seose osas STLF (Store-To-Load-Forwarding) optimeerimise kasutamisel võimaldab õigesti prognoosida sildi, hindades vahemälu olekut (kui silt sobib, suunatakse väärtus otse eelmisest "store" käsust "load" operatsiooni ja muudab vahemälu olekut). Esimene tüüpi vidinad sobivad rünnakuks Linuxi tuumale, teine aga JavaScripti V8 mootori jaoks, mida kasutatakse Chromiumi põhistel brauseritel. Rünnaku tööriista prototüüp on avaldatud GitHubis.

ARM kinnitas, et Cortex-X2, Cortex-X3, Cortex-A510, Cortex-A520, Cortex-A710, Cortex-A715 ja Cortex-A720 protsessoritega süsteemides on võimalik rünnak, kuid ei kavatse CPU-d muudatustega selle probleemi lahendamiseks muuta, kuna MemTag arhitektuuris ei peeta silmas, et sildid oleksid rakenduste jaoks salajased andmed. Chromiumi koodibaasis jääb probleem samuti lahendamata, kuna Chrome brauseris ei rakendata MemTag põhist kaitset vaikimisi. Android platvormi turvalisuse meeskond tunnustas rünnaku võimalikku teostamist Pixel 8 seadmetes, kus rakendatakse MemTag kaitset, on lisanud leketelukud ning väljendanud valmisolekut maksta leidmise eest preemiat haavatavuse kohta.

Rünnaku tõkestamiseks pakuvad teadlased ringi minemiseks kasutada sb või isb juhiseid spekulatiivse täitmise keelamiseks kriitiliste mäluoperatsioonide ajal või täita teiste juhistega vahepealsete harunemis- ja mälu juurdepääsujuhiste vahel.

Allikas: opennet.ru