SLAM — rünnak Intel, AMD ja ARM CPU-dele, mis võimaldab määrata mälu sisu

Amsterdam Free University'i teadlaste grupp tutvustas uut SLAM (Spectre Linear Address Masking) rünnaku tehnikat, mille eesmärk on leida uusi viise Spectre mikroarhitektuursete haavatavuste ärakasutamiseks. Nendes rünnakutes toimub andmete leke mittekanoniliste aadresside tõlkimise käigus ning kanonilisuse kontrollide ületamiseks kasutatakse uutes protsessorites pakutavaid lineaarsete aadresside maskeerimise laiendusi. Teadlased on avaldanud tööriistakomplekti meetodi rakendamiseks ja esitanud demonstraatsiooni, mis näitab, kuidas saab tuumamälust välja tõmmata andmeid vastava maskiga (näidatud on, kuidas Ubuntu süsteemis mõne sekundiga tuvastada tuumamälust rida, millel on root-kasutaja parooli hash).

Rünnakut saab teostada Intel'i protsessorites, mis toetavad LAM (Linear Address Masking) laiendust, AMD protsessorites, millel on UAI (Upper Address Ignore) laiendus, ja ARM protsessorites, mis toetavad TBI (Top Byte Ignore) laiendust. Need laiendused võimaldavad kasutada osa 64-bitiste pointerite bitte, et salvestada aadressiga mitteseotut metaandmeid (tavaliste programmide jaoks ei ole nii palju mälu vajalik, et nad saaksid adresseerida 64-bitiseid pointereid, seega võivad ülemised bitid olla kaasatud näiteks turvalisusega seotud kontrollidesse). Huviäratav on see, et Intel, AMD ja ARM protsessorid, mis toetavad LAM, UAI ja TBI, on veel vaid kuulutatud, kuid mitte massiliselt toodetud, mis teeb SLAM'i esimeseks spekulatiivseks rünnakuks tulevastele CPU-dele. Rünnakut võib teostada ka vanemates AMD CPU-des Zen+ ja Zen 2, mis on vastuvõtlikud haavatavusele CVE-2020-12965.

Sarnaselt Spectre haavatavuste kasutamisele nõuab SLAM rünnak teatud vajalikku käskude järjestust (gadžette), mis viib spekulatiivse käskude täitmiseni. Sellised käsud põhjustavad spekulatiivset andmete lugemist mälust, sõltuvalt välistest tingimustest, milles ründaja võib mõjutada. Pärast vale prognoosi määramist jäetakse spekulatiivse täitmise tulemus kõrvale, kuid töödeldud andmed jäävad vahemälu ja neid on hiljem võimalik taastada kolmandate osapoolte kanalite analüüsi abil. Vahemälu kõrvale jäänud andmete taastamiseks kasutatakse teadlaste seas meetodit Evict+Reload, mis põhineb tingimuste loomisel andmete eemaldamiseks vahemälust (näiteks luuakse aktiivsus, mis täidab vahemälu ühtlaselt tüüpilise sisu) ja operatsioonide sooritamisel, mille täitmise aeg võimaldab välja selgitada, kas andmeid on protsessori vahemälus.

SLAM rünnaku teostamiseks kasutatakse gadžette, mis põhinevad koodil, kus ründaja kontrollitavad andmed (allpool muutuja "secret") toimivad näidikuna. Näiteks: void unmasked_gadget(long **secret) { **secret; }

T tähele on, et selliseid koodimalleid kasutatakse sageli programmis, näiteks on Linuxi tuumas tuvastatud kümneid tuhandeid selliseid gadžette, millest vähemalt paar sada on kasutamiseks eksploittides sobilikud. Leekimist saab blokeerida, lisades sellistesse gadžettidesse täiendavaid käske, mis blokeerivad spekulatiivse täitmise. Ettevõte Intel kavatseb pakkuda tarkvaralist meetodit leakide blokeerimiseks enne LAM-tugiga protsessorite tarnimist. Ettevõte AMD soovitas kasutada olemasolevaid meetodeid Spectre v2 rünnakute blokeerimiseks. Linuxi tuuma arendajad otsustasid rünnaku kaitsmiseks vaikimisi LAM-tugi keelata, kuni Intel annab välja soovitused haavatavuse blokeerimiseks.

Allikas: opennet.ru