SWAPGS — uus haavatavus CPU spetsulatiivse täitmise mehhanismis

Bitdefenderi teadlased tuvastasid uue haavatavuse (CVE-2019-1125) spetsulatiivse täitmise instrutsioonide mehhanismis kaasaegsete CPU-de seas, mille nimi on SWAPGS, mis vastab probleemiks oleva protsessoriinstruktsiooni nimetusele. Haavatavus kaugelt sulgeda vahekaarte, mis on avatud teistel seadmetel. võimaldab mitteprivileegitud ründajal kindlaks teha tuumamälu alade või käivitatud virtuaalmasinate sisu. Probleem on kinnitatud Intel (x86_64) protsessorites ja osaliselt puudutab AMD protsessorites, kus peamine ründevetor ei avaldu. Varem rakendatud meetodid Spectre ja Meltdown haavatavuste vastu ei kaitse SWAPGS rünnaku eest Intel'i protsessoritel, kuid Linuxi, ChromeOS, Androidi ja Windowsi jaoks on juba pakutud parandusi.

Haavatavus kuulub Spectre v1 klassi ja põhineb ideel taastada andmeid protsessorikihist, mis jääb pärast spetsulatiivset täitmist. Kaasaegsete CPU-de haruennustuse blokid rakendavad teatud instruktsioonide ennetavat täitmist, mis tõenäoliselt täidetakse, kuid ei oota kõigi täitmist määravate tegurite arvutamist (näiteks kui ülemineku tingimusi või juurdepääsuteateid pole veel arvutatud). Kui prognoos ei kinnitu, viskab protsessor välja spekulatiivse täitmise tulemuse, kuid selle aja jooksul töödeldud andmed jäävad protsessorikihisse ja neid saab taastada kanalite kaudu, mis analüüsivad vahemaa andmete kätte saamise aega.

Uue rünnaku eripära on spekulatiivse täitmise instruktsiooni SWAPGS käigus tekkiva leke kasutamine, mida kasutatakse operatsioonisüsteemides registreerija GS väärtuse asendamiseks, kui juhtimissekkumine toimub kasutajaruumi ja OS tuuma vahel (kasutajaruumi väärtus GS asendatakse tuuma operatsioonide jaoks kasutatava väärtusega). Linuxi tuumas hoiab GS per_cpu suunajat, mis on vajalik tuuma andmetele juurdepääsuks, ning kasutajaruumi suunajad TLS (Thread Local Storage) jaoks.

Kaksikordse SWAPGS-käskluse väljakutse vältimiseks tuumast ruumi juurde pääsemisel või siis, kui täidetakse koodi, mis ei nõua GS-registeri vahetamist, teostatakse enne käskluse kontrollimine ja tingimuslik hüpe. Spekulatiivse täitmise mehhanism läheb ette ära SWAPGS-käsu täitmisele, ootamata kontrolli tulemusi, ning kui valitud haru ei kinnitu, tõukab see tulemuse kõrvale. Seega võib juhtuda, et spekulatiivselt valitakse haru, mis ei hõlma SWAPGS-i täitmist, kuid spekulatiivse täitmise käigus muudetakse GS-registeri väärtust SWAPGS-käsuga ja seda kasutatakse mälu sõltuvates operatsioonides, mis jäävad CPU vahemällu.

Uurijad on pakkunud välja kaks rünnakustsenaariumi, mille jaoks on välja töötatud eksploiteerimise prototüübid. Esimene stsenaarium põhineb olukorral, kus SWAPGS-i käsklust ei täideta spekulatiivselt, kuigi seda kasutatakse tegeliku täitmise käigus, ja teine, vastupidi, kus SWAPGS-i käsklust täidetakse spekulatiivselt, kuigi see ei peaks seda tegema. Iga stsenaariumi puhul on ettenähtud kaks ekspluateerimise varianti: ründaja võib määrata väärtuse teatud aadressil tuumas ja ründaja võib otsida teatud väärtust juhuslikes aadressides tuumas. Rünnaku teostamine võtab kaua aega ja lekke korraldamiseks võib osutuda vajalikuks eksploiti täita mitu tundi.

Linuxi tuumas probleem on kõrvaldatud SWAPGS-käsu väljakutse (spekulatiivse täitmise blokeerimine) loogika muutmise kaudu, sarnaselt teiste Spectre v1 klassi haavatavuste parandamisega. Arvatakse, et lisatud kaitse mõjutab minimaalset tüüpiliste töökoormuste jõudlust. Viivitus toimub kasutaja ja tuuma vahelise vahetuse etapis, mis võib põhjustada jõudluse langust, näiteks rakenduse kaudu intensiivsete süsteemikutsete tegemisel või sagedase NMI ja katkestuste genereerimise korral.

Parandus nõuab tuuma värskenduse installimist nii põh süsteemis kui ka külgkeskkondades, millele järgneb süsteemi taaskäivitamine. Linuxis kaitse keelamiseks võib kasutada valikut «nospectre_v1», mis samuti keelab meetmed SWAPGS haavatavuse blokeerimiseks. Parandus on saadaval kujul patch Linuxi tuuma, mis on juba lisatud väljaannete koosseisu 4.19.65, 5.2.7, 4.14.137, 4.9.188 ja 4.4.188. Värskendusi Linuxi distributsioonide jaoks ei ole veel välja antud (Debian, RHEL, Fedora, Arch Linux, SUSE/openSUSE, Ubuntu). Windowsis lahendati probleem ilma suurema tähelepanuta juuli värskenduses. Google valmistas parandus tuumale 4.19, mis tarnitakse ChromeOS-iga ja Android.

Bitdefenderi teadlaste sõnul teavitati Intelit probleemist juba eelmisel aastal augustis. Probleemi lahendamine otsustati teha tarkvaraliselt, mille jaoks kaasati koordineeritud parandusprotsessi Microsofti, Google'i ja Linuxi tuuma arendajad. Vanade Intel'i protsessorite, kuni Ivy Bridge'ini, ründamine on oluliselt keerulisem WRGSBASE käsu toetamise puudumise tõttu, mis kasutati eksploitides. ARM, POWER, SPARC, MIPS ja RISC-V süsteemid ei ole probleemile vastuvõtlikud, kuna nad ei toeta SWAPGS käsku.

Probleem ohustab peamiselt Intel'i protsessorite omanikke —
AMD süsteemides suudeti taastada ainult teine rünnaku stsenaarium, mis on piiratud spekulatiivse põhregistri GS töötlemisega, mida saab kasutada teatud väärtuste leidmiseks juhuslikes mälu piirkondades. Selle ründevariandi blokeerimiseks piisab on olemas meetodid, et kaitsta Spectre v1 haavatavuste eest.

Allikas: opennet.ru