Phoenix — rünnak DDR5 kiipidele, mis toob kaasa mälusisu moonutamise

Šveitsi Zürichi Tehnikaülikooli teadlased koos Google'i inseneridega on välja töötanud uue Rowhammeri rünnetehnika – Phoenix (CVE-2025-6202), mis võimaldab kõrvale vodada DDR5 kiipides kasutatavat TRR (Target Row Refresh) kaitsemehhanismi, mis takistab mälu rakkude kahjustumist laadimise kaotuse tõttu. Avalikustatud on eksploiti prototüüp, mis võimaldab muuta kindla biti sisu operatiivmälu sees ja saavutada kõrgendatud privileegid süsteemis. Rünnaku demonstreerimine toimus AMD protsessoril põhineval arvutil, millel on Zen 4 mikroarhitektuur ja SK Hynix DDR5 mälu, millel sooritati tüüpilisi lauaarvuti ülesandeid.

RowHammeri rünnak võimaldab moonutada individuaalsete DRAM mälubittide sisu, lugedes andmeid naaberrakkudest tsükliliselt. Kuna DRAM mälu on kahe mõõtmega rakke sisaldav array, kus iga rakk koosneb kondensaatorist ja transistorki, toob sama ala pidev lugemine kaasa pingefluktuaatsioone ja anomaaliaid, mis põhjustavad naaberrakkude väikese laengukaotuse. Kui lugemise intensiivsus on suur, võib naabruses olev rakk kaotada piisavalt suurt laenguhulka, mille tõttu järgmine regeneratsioonitsükkel ei suuda taastada selle algset olekut, mis toob kaasa andmete väärtuse muutumise rakus.

Rowhammer rünnaku meetod pakuti välja 2014. aastal, pärast mida algas turvauuringute ja seadmete tootjate vahel mäng 'kass ja hiir' — mälu kiibide tootjad püüdsid haavatavust blokeerida, samas kui teadlased leidsid uusi viise selle kõrvale hiilimiseks. Näiteks RowHammeri kaitseks lisasid kiibitootjad TRR (Target Row Refresh) mehhanismi, kuid selgus, et see blokeerib rakkude kahjustumist vaid erijuhtudel, kuid ei kaitse kõigi võimalike rünnete eest. Rünnaku meetodid on välja töötatud DDR3, DDR4 ja DDR5 kiipide jaoks Intel, AMD ja ARM protsessoritega süsteemides, samuti videomälu jaoks, mida kasutatakse NVIDIA graafikakaartides. Veelgi enam, leiti viise ECC vea parandamise kõrvalehiilimiseks ja pakuti välja rünnakute võimalusi üle võrgu ning JavaScripti koodi täitmise kaudu brauseris.

Mälu rakkude kahjustumise kaitse kõrvalehiilimise peamine tegur on TRR mehhanismi toimimise loogika mõistmine, mis tugineb peamiselt rakenduse üksikasjade varjamisele ja põhimõttele 'ohutus läbi ebamugavuse' (security by obscurity). Loogika määratlemiseks ja tagasipööramise uurimiseks on teadlased loonud spetsiaalsed FGPA Arty-A7 ja ZCU104 alused, mis võimaldavad testida DDR5 SO-DIMM ja RDIMM mälu mooduleid, tuvastada ligipääsude mustreid mälu rakkudele, määrata, milliseid madalamate tasemete DDR-käsklusi edastatakse pärast programmiga seotud operatsioone mälu osas ja analüüsida nende reaktsioone.

Selgus, et kaitse analüüsitud DDR5 kiipides on rakendatud ilma täiendavate juhtimise käskudeta mälusuhete värskendamise sageduse osas ning see toetub muutuva laadimise sagedusega rakkude režiimidele. Rowhammer rünnaku eduka läbiviimise jaoks on sellistes tingimustes vajalik tuvastada täpselt tuhandeid rakkude värskendamise operatsioone. Nendes tingimustes osutusid varem olemas olnud Rowhammer rünnakumeetodid mittenäitlikuks ning teadlased töötasid välja uue meetodi, mis kontrollib juurdepääsuternatiive ise, tuvastades mälusuhete värskendamise operatsioonide puudumised rünnaku käigus.

Meetod osutus efektiivseks ning testide läbiviimise ajal suutis see saavutada kontrollitud mälubiti moonutuse kõikides 15 testitud SK Hynix DDR5 kiibes (mille turuosa on 36% DRAM), mis on toodetud 2021. aasta lõpust 2024. aasta lõpuni. Ühe bitti moonutamine osutus piisavaks, et luua eksploite, mis võimaldab saada juurpermitsiooni süsteemis ründe käigus AMD Ryzen 7 7700X CPU ja SK Hynix DDR5 mälu kasutamisel 109 sekundi jooksul. Et kaitsta pakutud rünnakumeetodi eest, soovitatakse mälu värskendamise sagedust kolm korda suurendada.

Järgmised meetodid, mis võimaldavad saavutada juurpermitsioonide saamise läbi ühe bitti moonutuse, on uuritud: mälulehe rekordite (PTE, page table entry) sisu muutmine, et saada kerneliprognoosi privileeg; salajase RSA-2048 võtme kahjustamine OpenSSH-s (avatud võti saab viia kolmanda osapoole vastavusse ründaja salajase võtmega, et ühendada ohvri VM-iga); autoriteedi ülevaatamise vältimine protsessi sudo mälus toimimise kaudu. PTE meetod osutus töötavaks kõikides 15 testitud kiibes, RSA kaudu õnnestus rünnak kümnes kiibes, kuid sudo kaudu ainult viies. virtuaalses masinas selleks, et ühendada ohvri VM-iga); autoriteedi ülevaatamise vältimine protsessi sudo mälus. PTE meetod osutus töökindlaks kõigis 15 testitud kiibes, RSA rünnak töö oli teostatud 11 kiibes, samas kui sudo kaudu õnnestus rünnak vaid 5 kiibes.

DRAM-i mälulehtede paigutamise eksploidis kasutatakse Rubiconi tehnikat, mis avalikustati samaaegselt Phoenixi rünnakuga. Rubicon manipuleerib Linuxi tuumade mälu jaotamise optimeerimise eripäradega, võimaldades mälu eraldada piirkondades, kus on teine väärtus "migratetype", mis on reserveeritud privileegitud toiminguteks. Probleemi olemasolu on kinnitatud Linuxi tuumades alates 5.4 kuni 6.8, kuid teoreetiliselt katab haavatavus kõik tuumad, kus on rakendatud Zoned Buddy Allocatori mehhanism.

Lisaks Rowhammeri klassi rünnakute lihtsustamisele on Rubiconi tehnika samuti rakendatav mikroarhitektuursete rünnakute efektiivsuse suurendamiseks, nagu näiteks Spectre, ja saladuste mälu asukoha määramise lihtsustamiseks, mida tuleb lekitamiste kaudu välja võtta spekulatiivsete täitmisõpetuste käigus. Rubicon võimaldab vältida pikka mälu skaneerimise ja failide määramise etappi, nagu näiteks /etc/shadow. Selle asemel on võimalik kohe alustada mikroarhitektuursete haavatavuste ärakasutamist, tänu eelnevalt määratud faili paigutusele tuntud füüsilisel aadressil. Näiteks Rubiconi meetodi rakendamine aitas andmeleket kiirendada süsteemis CPU Intel i7-8700K 2698 sekundilt 9.5 sekundile (284 korda) ning CPU AMD EPYC 7252-l 189 sekundilt 27.9 sekundile (6.8 korda).

Samas näitas teine teadlaste rühm George Masoni Ülikoolist, et Rowhammeri klassi rünnakud on kasutatavad AI-süsteemide kompromiteerimiseks. Uurijad pakkusid välja meetodi OneFlip, mis võimaldab ühe bitiga teabe moonutamise kaudu AI mudelite käitumist kohandada. Näiteks on saadaval koodinäide troojalise muutuse sisestamiseks närvivõrku. Näidatakse, kuidas ühe bitikaotamine võib mõjutada autopiloodi mudeli tööd, muutes "Stop" liiklusmärgi tõlgenduse "Kiiruspiiranguks". Arutatakse ka meetodi kasutamist näotuvastussüsteemide ületamiseks. Mudelite puhul, kus kaalusid hoitakse 32-bitiste täisarvudena, on rünnaku edukuse määr 99.9% ilma mudeli algsete omaduste mõjutamiseta.

Allikas: opennet.ru