Esitati uus haavatavuste klass Intel'i protsessorites

Intel Corporation avalikustas teave uuest haavatavuse klassist oma protsessorites — MDS (Microarchitectural Data Sampling). Nagu varasemad Spectre klassi rünnakud, võivad uued probleemid viia operatsioonisüsteemi, virtuaalmasinate ja teiste protsesside konfidentsiaalsete andmete lekkimiseni. Teadaolevalt tuvastasid probleemid esmalt Intel'i töötajad ja partnerid siseauditi käigus, mille järel jagasid sõltumatud teadlased teavet sarnaste probleemide kohta Intelis. AMD ja ARM protsessorid ei ole sellele probleemile vastuvõtlikud.

Tuginedes teadlaste tuvastatud probleemidele Graz'i Tehnikaülikoolist (Austria) on välja töötatud mitmeid praktilisi rünnakuid külgkanalite kaudu:

• ZombieLoad (PDF) — võimaldab hankida konfidentsiaalset teavet teistest protsessidest, operatsioonisüsteemist, virtuaalmasinatest ja kaitstud keskkondadest (TEE, Trusted Execution Environment). Näiteks on näidatud võimalust tuvastada Tor brauseri lehtede avamise ajalugu, mis töötab teises virtuaalmasinas, samuti tuvastada rakendustes kasutatavaid juurdepääsukeelseid ja paroole;
  
  
• RIDL (PDF) — võimaldab korraldada teabe lekkimist erinevate isoleeritud alade vahel Intel'i protsessorites, nagu täitepuhvrite, mälupuhvrite ja laadimisportide vahel. Rünnaku näiteid on esitatud teabe lekete korraldamiseks teistest protsessidest, operatsioonisüsteemist, virtuaalmasinatest ja kaitstud keskkondadest. Näiteks on näidatud, kuidas saada teada root-parooli räsimise sisu /etc/shadow failist, tehes perioodilisi autentimise katseid (rünnak kestis 24 tundi);
  

  Lisaks on näidatud rünnaku näidet JavaScripti ja WebAssembly abil, kui avati pahavara lehte SpiderMonkey mootoris (kaasaegsetes täielikes brauserites on sellise rünnaku tõenäosus väike, kuna taimeri täpsuse piirangud ja meetmed Spectre'i vastu);

  
• Fallout (PDF) — võimaldab lugeda andmeid, mida operatsioonisüsteem on hiljuti kirjutanud, ja määrata operatsioonisüsteemi mälu paigutust, et lihtsustada teiste rünnakute läbiviimist;
• Store-To-Leak Forwarding — kasutab CPU optimeerimisi puhvriga töötamiseks ja võib olla kasutusel tuumaportide aadressiruumi randomiseerimise mehhanismi (KASLR) kõrvaldamiseks, et jälgida operatsioonisüsteemi seisundit või bufferite jagamiseks mitme protsessi vahel nendele tekstuuridele, mis on asetatud videomälu. Lisaks on lisatud jõudluse optimeerimised piltide dekodeerimise jaoks, mis kasutavad kiiruselisi SIMD käske ja vähendavad formaadi konversiooni aega 5-10%. andmete lekkimise korraldamiseks koos Spectre meetodite põhjal loodud seadmetega.

Tuvastatud haavatavuse:

• CVE-2018-12126 — MSBDS (Mikroarhitektura Poestus Bufferi Andmete Proovimine), andmeesisu taastamine salvestusbuffereid. Kasutatakse Fallout rünnakus. Ohtlikkuse aste on määratud 6.5 punkti (CVSS);
• CVE-2018-12127 — MLPDS (Mikroarhitektura Laadimisporti Andmete Proovimine), andmeesisu taastamine laadimisportides. Kasutatakse RIDL rünnakus. CVSS 6.5;
• CVE-2018-12130 — MFBDS (Mikroarhitektura Täitemeetod Bufferi Andmete Proovimine), andmeesisu taastamine täitemeetod buffereid. Kasutatakse ZombieLoad ja RIDL rünnakutes. CVSS 6.5;
• CVE-2019-11091 — MDSUM (Mikroarhitektura Andmete Proovimine Kahemõttelises Mälus), andmeesisu taastamine mittevahemälu. Kasutatakse RIDL rünnakus. CVSS 3.8.

Sisu Tuvastatud probleemid kanali kaudu analüüsimeetodite rakendamise võimalustes mikroarhitektuuriliste struktuuride andmetele, millele rakendused otse ei pääse. Teema käsitleb madalama taseme struktuure, nagu täitemeetodid (Line Fill Buffer), salvestusbuffereid (Store Buffer) ja laadimisporte (Load Port), mis on väiksemat tüüpi koostisosad kui esimese taseme vahemälu (L1D), andmete laadimise vahemälu (RDCL) või L1TF (L1 Terminal Fault) ning seega sisaldavad vähem teavet ja uueneb sagedamini.

Mikroarhitektuuriliste struktuuride kanalipõhised rünnakud on oluliselt keerulisemad võrreldes vahemälu andmesisu taastamise meetoditega ning nõuavad suurte andmemahtude jälgimist ja analüüsimist nende seose tuvastamiseks konkreetsete mälu aadressidega (praktikas ei saa ründaja sihipäraselt teatud andmeid kinni püüda, vaid võib pika aja jooksul akumuleerida lekkekandeid ning rakendada statistilisi meetodeid teatud andmetüüpide rekonstrueerimiseks). Lisaks mõjutab rünnak ainult andmeid samas füüsilises CPU tuumas, mis on ründaja koodi asukohaks.

E propuestas, määratakse mikroarhitektuuriliste struktuuride andmesisu spekulatiivse vahejuhtumite (fault) või laadimis- ja salvestusoperatsioonide käigus.
Spekulatiivse täitmise käigus suunatakse sisemiste struktuuride sisu töötlemiseks registritesse või vahemälu. Spekulatiivsed operatsioonid ei lõpeta ning tulemused loobutakse, kuid suunatud sisu saab määrata kanalipõhiste vahemälu analüüsimeetodite abil.

Laadimisportid on protsessori poolt kasutatavad mälu või sisendi/väljundi alamüsteemist andmete saamises ja saadud teabe edastamiseks CPU registritesse. Kuna vanade laadimisoperatsioonide andmed jäävad portidesse enne nende ülekirjutamist uute andmetega, saab efektiivselt määrata laadimisporti andmete oleku, tehes erandite (fault) ja SSE/AVX/AVX-512 käskude kaudu, mis laadivad rohkem kui 64 bitti andmeid. Sellistes tingimustes spekulatiivsed laadimisoperatsioonid paljastavad aegunud andmed sisemistest struktuuridest sõltuvates operatsioonides. Sarnane andmete lekkimine toimub ka mälupuhvris, mida kasutatakse CPU vahemälu kirjutamise kiirendamiseks ja mis sisaldab aadresside, väärtuste ja lipukeste tabelit, samuti täitemälu, mis sisaldab andmeid, kuni L1 vahemälus puuduvad (cache-miss), kuni need laaditakse teistest vahemälutasanditest.

Probleem puudutab Intel'i protsessori mudelid, mis on toodetud alates 2011. aastast (alates 6. põlvkonnast). Samuti blokeeritakse riistvara tasemel haavatavused alates mõnest 8. ja 9. põlvkonna Intel Core mudelist ning 2. põlvkonna Intel Xeon Scalable mudelist (selle saab kontrollida bit ARCH_CAP_MDS_NO kaudu IA32_ARCH_CAPABILITIES MSR). Haavatavused on juba on kõrvaldatud veel tasemel püsivara, mikroprogrammeerimise ja operatsioonisüsteemide. Intel'i hinnangul on enamikule kasutajatest jõudluse kaotus pärast paranduse aktiveerimist mitte ületab 3%. Hyper-Threading'i tehnoloogia väljalülitamisel võib jõudluse langus ulatuda 9%-ni SPECint_rate_base testis, 11%-ni aktiivsete täisarvuliste arvutuste korral ning 19%-ni serveri Java rakenduste käitamisel (HT lubamisel on jõudluse langus peaaegu olematu). Parandused ei mõjuta praktiliselt andme sisendi/väljundi operatsioonide jõudlust.

Linuxi kärus on MDS-i kaitse lisatud täna uuendustes 5.1.2, 5.0.16,
4.19.43, 4.14.119 ja 4.9.176. Kaitsemeetod põhineb mikroarhitektuuriliste puhversalte sisu puhastamisel vahetamisel kernist kasutaja ruumi või edastamisel juhtimise host-süsteemile, mille jaoks kasutatakse käsku VERW. Selle kaitse toimimiseks on vajalik toetada MD_CLEAR režiimi, mis on rakendatud värskes mikroprogrammeerimise uuenduses. Täieliku kaitse tagamiseks on soovitatav ka Hyper-Threading välja lülitada. Süsteemi haavatavuse kontrollimiseks kernelis Linux on lisatud protsessori "\/sys\/devices\/system\/cpu\/vulnerabilities\/mds". Mitmesuguste haavatavuste blokeerimise režiimide aktiveerimise haldamiseks on kernelisse lisatud parameeter "mds=", mille väärtused võivad olla "full", "full,nosmt" (Hyper-Threads'i väljalülitamine), "vmwerv" ja "off".

Pakettide uuendused on juba välja antud RHEL ja Ubuntu, kuid need on endiselt kättesaamatud Debian, Fedora ja SUSE.
Parandus andmeleakide blokeerimiseks virtuaalmasinatest on samuti on loodud Xeni hüperviisori jaoks. Virtuaalsüsteemide kaitsmiseks, mis kutsuvad enne teise virtuaalmasina juhtimise edasiandmist esile käsu L1D_FLUSH, ning Intel SGX enklaavide kaitseks piisab mikrokoodi uuendamisest.

Allikas: opennet.ru