Pakkutud on rünnakumeetod kaugelt mälu fragmente serveris tuvastamiseks.

Graz Tehnika Ülikooli (Austria) teadlaste rühm, kes on varem tuntud MDS-, NetSpectre-, Throwhammer- ja ZombieLoad-rünnakute arendamise poolest, avaldas uue rünnakumeetodi (CVE-2021-3714), mis maandub mälu deduplikatsiooni mehhanismi (Memory-Deduplication) kaudu. See meetod võimaldab määrata, kas mälu on teatud andmeid, korraldada baitide eraldumist mälu sisust või määrata mälu jaotust, et vältida aadresside randomiseerimise (ASLR) põhist kaitset. Varasemast rünnakute näidust, deduplikatsiooni mehhanismi rünnakud, uus meetod erineb selles, et rünnak viiakse läbi välisest hostist, kasutades kui kriteeriumi vastuste ajavahemike muutumist rünnakute saatmisel protokollide HTTP/1 ja HTTP/2 kaudu. Rünnaku teostamine on demonstreeritud Linuxi ja Windowsi baasil olevatel serveritel.

Mälu deduplikatsiooni mehhanismi rünnakud kasutavad kanalisandiks ajavahe tingimusi, kui andmete muutmine toob kaasa dedupikitud mälu lehe kopeerimise Copy-On-Write (COW) mehhanismi abil. Töö käigus tuvastab kernel sama mälu lehe erinevatest protsessidest ja ühendab need, kuvades identsete mälu lehed ühte füüsilise mälu alasse, et salvestada ainult üks koopia. Kui üks protsess püüab muuta andmeid, mis on seotud deduplikeeritud lehtedega, tekib erand (page fault) ja Copy-On-Write mehhanismi abil luuakse automaatselt eraldi mälu lehe koopia, mis kinnitatakse protsessile. Kopeerimise täitmiseks kulub lisatähtaeg, mis võib olla märk andmete muutmisest, mis kattub teise protsessiga.

Teadlased on näidanud, et Copy-On-Write mehhanismi tõttu tekkivaid viivitusi saab tabada mitte ainult lokaalselt, vaid ka analüüsides vastuste saatmise ajavahemiku muutust võrgus. Pakutakse välja mitmeid meetodeid, et määrata kaugehuli sisu, analüüsides päringute töötlemise aega HTTP/1 ja HTTP/2 protokollide kaudu. Pööramismustrite säilitamiseks kasutatakse tüüpilisi veebirakendusi, mis salvestavad mälu sissepääsu andmed.

Rünnaku üldine põhimõte seisneb. serveris mälulehtede andmed, mis võivad potentsiaalselt korrata juba serveris olevate mälulehtede sisu. Seejärel ootab ründaja aega, mis on vajalik tuumade deduplikatsiooniks ja mälulehtede ühendamiseks, pärast mida muudab ta kontrollitava andmepärandi ja hindab reageerimise aega, et määrata rünnaku õnnestumise määra.

Tehtud katsete käigus oli maksimaalne teabe leke 34,41 baiti tunnis globaalse võrgu kaudu ja 302,16 baiti tunnis kohaliku võrgu kaudu, mis on kiirem kui teiste andmete väljatoomise meetodite kaudu kolmandate osapoolte kanalite kaudu (näiteks NetSpectre rünnaku korral on andmeedastuskiirus 7,5 baiti tunnis).

Pakutakse välja kolm ründevõimalust. Esimene variant võimaldab määrata andmeid mälus veebiserver, kus kasutatakse Memcachedi. Rünnak seisneb teatud andmekomplektide laadimises Memcachedi salvestusse, deduplikatsiooni blokeerimise kustutamises, sama elemendi uuesti kirjutamises ja tingimuste loomises COW-kopide tekkimiseks bloke sisu muutmise kaudu. Memcachediga katse käigus õnnestus 166,51 sekundiga määrata süsteemis, mis töötab virtuaalmasinas, installitud libc versioon.

Teine variant võimaldas teada saada MariaDB andmebaasi sisu, kasutades InnoDB salvestust, sisu taastamise kaudu bait baidi kaupa. Rünnak viiakse läbi spetsiaalselt muudetud päringute saatmise kaudu, mis põhjustavad mälulehtedes ühebaidiseid erinevusi ja reageerimise aja analüüsimise tulemuste määramiseks, et teada saada, et byte'i sisu püsimine oli õige. Sellise leke kiirus on väike ja on 1,5 baiti tunnis kohalikust võrgust rünnates. Meetodi plussiks on see, et seda saab kasutada tundmatu mälusisalduse taastamiseks.

Kolmas variant lubas 4 minutiga täielikult ületada KASLR kaitsme ja saada teavet virtuaalmasina tuuma kuvandi mälu nihke kohta, olukorras, kus nihke aadress on mälulehes, mille teised andmed ei muutu. Rünnak toimus hostilt, mis oli 14 edastuspunkti (hops) kaugusel rünnatavast süsteemist. Koodinäidised esitatud rünnakute realiseerimiseks lubatakse avaldada GitHubis.

Allikas: opennet.ru