Retbleed — uus rünnak CPU Intel ja AMD spekulatiivse täitmise mehhanismi vastu

Šveitsi Liidumaa Tehnikaülikooli uurimisgrupp avastas uue rünneteooria, millega on võimalik rünnata CPU spekulatiivse täitmise mehhanismi, mis lubab teavet väljavõtmise mälust või rünnaku korraldamise kohalikust süsteemist virtuaalmasinatest. Haavatavustel on koodnimi Retbleed (CVE-2022-29900, CVE-2022-29901) ja need sarnanevad Spectre-v2 rünnetega. Erinevus seisneb spekulatiivse täitmise korraldamises suvalisest koodist, kui töödeldakse käsu 'ret' (return), mis väljavõtab aadressi üleminekuks virnast, selle asemel et kasutada üleminekut käsuga 'jmp' aadressi laadimiseks mälust või CPU registrist.

Ründaja võib tekitada tingimused vale haruennustuse jaoks ja korraldada sihitud spekulatiivse ülemineku koodiblokki, mis ei ole ettenähtud programmi täitmise loogikas. Lõppkokkuvõttes määrab protsessor, et haruennustus ei õigustanud ennast ja taastab operatsiooni algses olekus, kuid spekulatiivse täitmise käigus töödeldud andmed jäävad vahemälu ja mikroarhitektuurilistes puhverdesse. Kui vale täidetud plokk teeb mälule pöördumise, siis toob selle spekulatiivne täitmine kaasa andmete jäämise üldisesse vahemällu ning mälust loetud andmed.

Käivitatud toimingute spekulatiivse täitmise järel jääkide määramiseks võib ründaja kasutada meetodeid jääkandmete tuvastamiseks külgkanalite kaudu, näiteks analüüsides juurdepääsuaja muutusi vahemällu salvestatud ja mitte salvestatud andmete vahel. Teise privileegitasandi aladelt (näiteks tuumamälust) teabe sihipäraseks eraldamiseks kasutatakse „gadget’e“ — tuumas esinevaid käsklusjärjestusi, mis on sobivad spekulatiivsete andmete lugemiseks mälust sõltuvalt välistest tingimustest, millega ründaja võib mõjutada.

Klassikaliste Spectre-rünnakute kaitsmiseks, kus kasutatakse tingimuslike ja kaudsete ülekande instruktsioone, kasutatakse enamikus operatsioonisüsteemides tehnikat „retpoline”, mis põhineb kaudsete ülekandeoperatsioonide asendamisel käsklusega „ret”, mille jaoks protsessorites kasutatakse eraldi kuhja seisundi ennustamise plokki, mis ei kasuta ülekande ennustamise plokki. Kui retpoline 2018. aastal sisse viidi, arvati, et Spectre-sarnased aadressimanipulatsioonid pole praktiliselt rakendatavad spekulatiivsete ülekannete jaoks käsklusega „ret”.

Uuringute läbiviijad, kes arendasid välja Retbleed-rünnaku meetodi, demonstreerisid mikroarhitektuursete tingimuste loomise võimalust spekulatiivsete ülekannete algatamiseks käsklusega „ret” ning avaldasid valmis tööriistakomplekti sobivate ekspluateeritavate haavatavuste järjestuste (gadgetide) tuvastamiseks Linuxi tuumas, kus sellised tingimused avalduvad.

Uuringu käigus valmis tööexploit, mis võimaldab Intel CPU-d kasutavatel süsteemidel kasutaja ruumiprotsessist välja tõmmata juhuslikke andmeid tuuma mälust kiirusel 219 baiti sekundis ja täpsusega 98%. AMD protsessoritel on exploit'i efektiivsus tunduvalt kõrgem — leke toimub kiirusel 3.9 KB sekundis. Praktilise näitena on näidatud, kuidas selle exploit'iga määrata faili sisu /etc/shadow. Intel CPU-d kasutavatel süsteemidel viidi ründetegevus läbi, et määrata root kasutaja parooli hash 28 minutiga, samas kui AMD CPU-d kasutavatel süsteemidel kulus selleks 6 minutit.

Ründetegevuse võimalus on kinnitatud 6-8 põlvkonna Intel protsessorite jaoks, mis toodeti enne 2019. aasta 3. kvartalit (sealhulgas Skylake), ja AMD protsessorite jaoks, mis põhinevad mikroarhitektuuridel Zen 1, Zen 1+ ja Zen 2, mis toodeti enne 2021. aasta 2. kvartalit. Uuemates protsessorimudelis, nagu AMD Zen3 ja Intel Alder Lake, samuti ARM protsessorites, on probleem blokeeritud olemasolevate kaitsemehhanismidega. Näiteks IBRS (Indirect Branch Restricted Speculation) käsu kasutamine aitab kaitsta rünnaku eest.

Linuxi ja Xen-hüperviisori jaoks on ette valmistatud muudatuste kogum, mis blokeerib vanematel CPU-del probleemi tarkvaraliselt. Linuxi tuuma jaoks ettepanek muudatus muudab 68 faili, lisab 1783 rida ja eemaldab 387 rida. Kahjuks toob see kaitse kaasa olulisi kulusid — testide põhjal AMD ja Intel protsessoritel hinnatakse jõudluse langust vahemikus 14% kuni 39%. Eelistatum on rakendada kaitset, mis põhineb IBRS-i juhistel, mida on saadaval uutes Intel CPU põlvkondades ja mis on toetatud alates Linuxi tuuma versioonist 4.19.

Intel protsessoritel toimub aadressi sisestamine spekulatiivse kaudse hüppe jaoks tänu omadusele, mis avaldub, kui toimub alumise piiri ületäitumine (underflow) tagasipöördumise stendi ennustamise puhvris (Return Stack Buffer). Selliste tingimuste ilmnemisel hakkab „ret“ käsu jaoks rakenduma aadressi valiku loogika, mis on sarnane sellele, mida kasutatakse tavapärastes kaudsetes hüpetes. Linuxi tuumast on leitud üle tuhande koha, mis tekitavad tingimusi sarnase tagasipöördumise ületäitumise algatamiseks ja mis on kätte saadavad süsteemi kutsungite kaudu.

AMD protsessoritel toimub spekulatiivne käskluse "ret" täitmine ilma erilise seotuseta virna piires oleva pöörd地址（Return Address Stack） ja üleminekute ennustamise plokk käsitleb käsku "ret" mitte kui juhtimise tagastamist, vaid kui kaudset üleminekut, ning seetõttu kasutab ta ennustamisel andmeid kaudsete üleminekute jaoks. Sellistes tingimustes võib tegelikult iga "ret" toiming, mis on saavutatud süsteemikutsumise kaudu, olla ära kasutatav.

Lisaks on AMD CPU-s tuvastatud veel üks probleem (CVE-2022-23825, Branch Type Confusion), mis on seotud valeüleminekute tegemisega — ülemineku ennustamise tingimused võivad ilmneda isegi ilma vajaliketa harutamisjuhtide käsklusteta, mis võimaldab mõjutada üleminekute ennustamise puhverdust ilma käsuta "ret". See omadus muudab kaitse rakendamise oluliselt keerulisemaks ja nõuab aktiivsemat ennustuste puhverdust. Oodatakse, et täieliku kaitse lisamine tuumale toob kaasa 209% kulude suurenemise.

Allikas: opennet.ru