TONTOU — rünnak Intel ja AMD CPU-dele, mis võimaldab ületada Spectre v2 haavatavuse kaitset

Massachusetts Institute of Technology'i teadlased on avastanud TONTOU (Time-of-Neutralization to Time-of-Use) rünnetehnika, mis pakub uut viisi Spectre v2 klassi mikroarhitektuursete haavatavuste ärakasutamiseks. Haavatavus võimaldab tuvastada tuuma mälu sisu rakenduse kasutamise ajal. Kood haavatavuse ärakasutamise blokeerimiseks võeti kasutusele Linuxi kernelisse 5. augustil ning see on kaasatud väljaannetesse 7.1.7, 6.18.43, 6.12.102, 6.6.149, 6.1.181, 5.15.214 ja 5.10.263.

Teadlased demonstreerisid, et lokaalne mitteprivilegeeritud kasutaja saab rünnata ja tuvastada root kasutaja parooli hash'i, mis on salvestatud failis /etc/shadow ja laaditud mälu süsteemi autentimise käigus. Teadlased suutsid saavutada tuumamälu andmete lekke kiirusel 5.47 baiti sekundis ja täpsusega 91.97%. 10 testkäivituse keskmine kestev aeg oli 18 minutit ning pooled kordadest õnnestus tuvastada /etc/shadow faili olemasolu mälus ning selle sisu välja tõmmata.

Eksploit demonstreeriti AMD protsessoriga süsteemidel ja seda saab kasutada AMD CPU-de Zen 1-4 peredes. Intel'i süsteemidel on rünne samuti võimalik, kuid ärakasutamine on keerulisem. Toetuseks virnastamisülekande ülekoormuse ja SRSO (Speculative Return Stack Overflow) haavatavuse blokeerimise vastu on AMD protsessorites rakendatud Safe-RET kaitsemehhanism, mis puhastab hüpoteesi vahemiku bufferi pärast iga kasutamist ning kitsendab rünnaku akent 2 käsule, mis kestavad paarikümneid nanosekundeid.

Kaitseks selle kaitse ületamiseks ja rünnakuakna pikendamiseks on rakendatud CPU aeglustamise tehnikat, mis võimaldab õigel ajal katkestuse asendust teostada, suunates tegevuse juhtimisvoo tuumas ja kasutades katkestuse töötlejat, et moonutada prognoosimise vahemiku salvestust. SRSO haavatavuse ära kasutamiseks võib ründaja luua tingimusi, kus prognoosimise vahemik spekuleerib suure hulga vale prognoositud CALL kõnesid, mis on piisavad, et ületada tagastamisadresside virn ja kirjutada üle õigesti prognoositud tagastamispunkte, mis asuvad virna alguses. Selle tulemusena võivad virna algselemendid olla kirjutatud ründaja valitud väärtustega, mis viib sellele, et need asendatud väärtused kasutatakse eksitavalt RET käskluse täitmisel teise protsessi kontekstis.

Protsessor tuvastab, et haru prognoosimine ei õigustanud ennast ja tagastab operatsiooni algsesse olekusse, kuid spekulatiivse täitmise käigus töötlemise alla langenud andmed jäävad vahemälu ja mikroarhitektuursetesse puhvrisse. Kui vale täidetud plokk teostab mälule pöördumise, toob selle spekulatiivne täitmine kaasa andmete jäämise üldisesse vahemällu, mis on loetud mälust. Vahemälu sisu väljavõtmiseks võib kasutada ühte meetodit, mis põhineb vahemälu andmete ja mitte-vahemällu andmete juurdepääsuaja muutuste analüüsimisel.

Allikas: opennet.ru