Google demonstreeris Spectre haavatavuste kasutamist JavaScripti täitmise kaudu brauseris

Google'i ettevõte avaldas mitu prototüüpi eksploitidest, mis näitavad, et Spectre'i haavatavusi saab ära kasutada JavaScripti koodi käitamisega brauseris, mööda minnes varasemalt lisatud kaitsemeetmetest. Eksploitid võivad olla kasutatud, et saada juurdepääs protsessi mälule, mis töötab veebisisu töötlemisega käesolevas vahekaardis. Eksploidide töö testimiseks on käivitatud leht leaky.page, ja kood loogika kirjeldusega on paigutatud GitHubi.

Pakutud prototüüp on mõeldud rünnakute teostamiseks Intel Core i7-6500U protsessoriga süsteemides Linuxi ja Chrome 88 keskkonnas. Eksploidi rakendamiseks muudes keskkondades on vajalikud muudatused. Ekspluateerimise meetod ei ole spetsiifiline Intel'i protsessorite jaoks - pärast vastava kohandamise kinnitust on eksperdid leidnud, et eksploidi töötab ka teiste tootjate CPU-de, sealhulgas Apple M1 ARM-arhitektuuri süsteemide peal. Pärast mõningaid väikeseid kohandusi töötab eksploidi ka teiste operatsioonisüsteemide ja Chromiumi mootoriga brauserites.

Tavalise Chrome 88 ja Intel Skylake'i protsessoritega keskkonnas õnnestus saavutada andmete leke praeguse Chrome'i vahekaardi veebisisu töötlemise protsessist (renderer process) kiirusel 1 kilobait sekundis. Täiendavalt arendati välja alternatiive prototüübid, näiteks eksploidi, mis lubab stabiilsuse vähenemise hindade juures suurendada leke kiiruseni 8kB/s, kasutades performance.now() taimerit, mille täpsus on 5 mikrosekundit (0.005 millisekundit). Samuti on ette valmistatud variant, mis töötab taimeri täpsusega ühes millisekundis, mida saab kasutada juurdepääsu korraldamiseks teise protsessi mälule kiirusel umbes 60 baiti sekundis.

Avaldatud demonstreerimiskood koosneb kolmest osast. Esimene osa kalibreerib taimerit, et hinnata operatsioonide teostamise aega, mis on vajalik CPU spetsiifiliste juhiste tulemusena protsessori vahemälus jäänud andmete taastamiseks. Teine osa määrab kindlaks mälukorra, mida kasutatakse JavaScripti massiivi paigutamisel.

Kolmas osa rakendab Spectre haavatavust mälu sisu määramiseks praeguses protsessis, luues tingimused teatud toimingute spekulatiivseks elluviimiseks. Need toimingud kõrvaldatakse protsessori poolt pärast ebaõnnestunud prognoosi tuvastamist, kuid täitmise jäljed jäävad üldisesse vahemällu ja võivad olla taastatud vahemälu sisu määramise meetodite abil, mis analüüsivad juurdepääsuaja muutusi vahemälus ja mitte vahemälus olevatele andmetele.

Pakutud ekspluatatsiooni tehnika võimaldab mööda minna täpsetest ajastajatest, mis on saadaval läbi API performance.now(), ja ilma SharedArrayBuffer tüübi toeta, mis võimaldab luua massiive jagatud mälu süsteemis. Eksploitatsioon sisaldab Spectre mässavat gadget’i, mis kutsub esile juhitava spekulatiivse koodi täitmise, ja külgkanali lekke analüsaatorit, mis määrab vahemällu sisenenud andmed spekulatiivse täitmise käigus.

Gadget on teostatud JavaScripti massiivi abil, mille kaudu üritatakse juurde pääseda mäluaadressile väljaspool puhvri piire, mis mõjutab üleminekute ennustamise ploki seisundit, kuna kompilaator on lisanud puhvri suuruse kontrolli (protsessor täidab spekulatiivselt pöördumist, kuid tühistab oleku pärast kontrollimist). Vahemälu sisu analüüsimiseks, kus ajastamise täpsus on ebapiisav, on pakutud meetod, mis petab protsessorite kasutatavat Tree-PLRU vahemälu andmete eemaldamise strateegiat ning võimaldab märkimisväärselt suurendada erinevust vahemälus oleva ja vahemälust puudumise väärtuse tagastamise ajal.

Tuleb märkida, et Google on avaldanud eksploitatsiooni prototüübi, et näidata märkamatute rünnakute realismi Spectre klassi haavatavuste kasutamise kaudu ning julgustada veebi arendajaid rakendama tehnikaid, mis vähendavad selliste rünnakute riske. Samuti usub Google, et ilma märkimisväärse prototüübi ümbertegemiseta ei ole võimalik luua üldkasutatavaid eksploitatsioone, mis oleksid valmis mitte ainult demonstreerimiseks, vaid ka laialdaseks kasutamiseks.

Veebilehtede omanikele soovitatakse vähendada riski, kasutades hiljuti rakendatud Cross-Origin Opener Policy (COOP), Cross-Origin Embedder Policy (COEP), Cross-Origin Resource Policy (CORP), Fetch Metadata Request, X-Frame-Options, X-Content-Type-Options ja SameSite Cookie. Need mehhanismid ei paku otsest kaitset rünnakute eest, kuid võimaldavad isoleerida veebisaidi andmed lekete eest protsessides, kus võib käivituda ründaja JavaScripti kood (lekkeid toimub jooksvast protsessist, kus ründaja koodiga võivad samal ajal töötada ka teise saidi andmed, mis avati samas vahekaardis). Peamine idee on eraldada erinevates protsessides saidi koodi käitamine usaldusväärsetest allikatest saadud kolmanda osapoole koodist, näiteks iframe'i kaudu laaditud koodist.

Allikas: opennet.ru