Training Solo — uued Spectre-v2 ründevariandid, mis mõjutavad Intel CPU-d

Amsterdam Free University'i uurijate rühm avastas mitu uut Spectre-v2 klassi haavatavust, mis on avaldatud koodinimega Training Solo ja võimaldavad mööda hiilida mälu isoleerimise mehhanismidest. Virtuaalsete süsteemide kontekstis võimaldavad haavatavused määrata host-keskkonna mälu sisu külalisüsteemidest, ja serverite kontekstis võimaldavad need määrata tuumamälu sisu kasutajaruumi eksploidi käivitamisel. Näited eksploatidest sarnaste rünnakute teostamiseks on avaldatud GitHubis. Esitatud ekspLOATid võimaldavad välja tõmmata juhuslikke andmeid tuumamälust kiirusel 17 KB/s ning hüperviisori mälust kiirusel 8,5 KB/s.

Spectre-v2 klassi rünnakutes kasutatakse andmelekete korraldamiseks harude sihtmärgi bufferi (Branch Target Buffer) või harude ajaloo bufferi (Branch History Buffer) väärtuste asendamist, mis on vajalikud järgmise harude operatsiooni ennustamiseks. Harude ajaloo manipuleerimise kaudu luuakse tingimused vale ennustamise jaoks spekuleerivas instruktsioonide täitmisel. Ründaja ülesanne on tagada, et spekuleeriva haruoperatsiooni käigus võetakse sihtmärgi aadress soovitud mälu alalt. Pärast spekuleeriva ülemineku sooritamist jääb protsessorikassasse salvestatud aadress, millest loetakse vajalikud andmed ründajale mälu. Kassi sisu väljatõmbamiseks võib kasutada ühte kohandusele põhinevat meetodit, mis analüüsib juurdepääsu aega vahemälus ja vahemälust väljaspool.

Training Solo rünnakumeetodid on suunatud täitmisalade isoleerimise mehhanismide, nagu IBPB, eIBRS ja BHI_NO, mööda hiilimisele, mida kasutatakse Spectre-v2 klassi rünnakute blokeerimiseks. Näiteks IBPB juhis (Indirect Branch Prediction Barriers) tagab harude ennustamisploki oleku lähtestamise igal konteksti vahetamisel — kasutajaruumi ja tuuma või külalisüsteemi ja host-keskkonna vahel juhtimise edastamisel. Oleku lähtestamine blokeerib võimaluse kasutada iseseisvat koodi, et mõjutada varjatud haruharude ennustamisploki käitumist.

Training Solo meetodite erinevus seisneb selles, et ennustamisiirde bloki mõjutamiseks ei soovitata käivitada ründajale kontrolli all olevat koodi, vaid kasutada juba privileege omavas täitmispiirkonnas (tuum või hüperviisor) olevat koodi, mille lekkeid ründaja püüab. Muude meetodite puhul meenutavad need klassikalist Spectre-v2 rünnakut. Lisaks tuvastasid teadlased kaks riistvaraprobleemi (CVE-2024-28956 ja CVE-2025-24495), mis võimaldavad täielikult mööda minna täitmispiirkondade eraldatusest ning teostada lekkeid teiste kasutajate protsessidest, teiste virtuaalmasinate süsteemidest või hostkeskkonnast.

Pakutakse kolme tüüpi Training Solo rünnakut:

• Üleminekuennustuse loogika moonutamine juba olemasolevate tuuma käsu järjestuste (gadgetide) kaudu, mis mõjutavad üleminekute ajaloo puutu sisu. Sellistena soovitatakse kasutada SECCOMP süsteemikutsungite juurdepääsulimiidi mehhanismi, mis võimaldab vale kaudse ülemineku saavutada spekuleeriva režiimi kaudu, asendades oma BPF-filteritega (SECCOMP-i filtrid määratakse klassikalise cBPF abil, mis on vaikimisi lubatud, erinevalt eBPF-st). Intel Tiger Lake ja Lion Cove CPU-testimise käigus saavutati selle meetodi kasutamisel lekke kiirus 1.7KB/sek.
• IP-kollisioone (Instruction Pointer) kasutamine üleminekuennustuse blokis. Ründaja võib luua tingimused, mille korral spekuleeriva ülemineku aadress valitakse ainult juba olemasolevast ülemineku aadressist puutus, arvestamata ülemineku ajaloo. Idee on, et üks kaudne üleminekuoperatsioon võib mõjutada teist, kui nende aadresside hashi salvestamisel tekib BTB-s (Branch Target Buffer) kollisioon.
• Otseste üleminekute mõju kasutamine kaudsete üleminekute ennustamiseks. Selline käitumine on põhjustatud kahest riistvaralisest haavatavusest: CVE-2024-28956 — ITS (Indirect Target Selection) ja CVE-2025-24495 — probleemi olemasolust Intel CPU-de Lion Cove tuumadega. Selle meetodi kasutamine andmete lekkimiseks mälu seest tõi kaasa 17 KB/sek. Demonstreeritud eksploaadi käigus, millega määratakse root-kasutaja paroolihash, mis salvestati mälu pärast „passwd -s“ käsu käivitamist, kulus 60 sekundit.

Rünnak, mis moonutab külastuste ajalugu, mõjutab kõiki Intel CPU-sid, mis toetavad eIBRS mehhanismi, sealhulgas Intel Coffee Lake ja Lion Cove protsessoreid. Haavatavuse blokeerimiseks on Intel välja andnud mikrokoodi uuenduse, mis sisaldab uut käsku IBHF (Indirect Branch History Fence), mida soovitatakse kasutada pärast koodi, mis mõjutab külastuste ajaloo puhversäilitust. Vanemate Intel CPU-de puhul on soovitatav kasutada külastuste ajaloo puhastamise tarkvaralist meetodit. Linuxi kerneli on vastu võetud muudatus, mis lisab tarkvaralise ja riistvaralise rünnakute kaitse, mis on teostatavad cBPF-i abil. AMD on teatanud, et tema CPU-dele see rünnakumeetod ei kehti. ARM teatas, et probleem mõjutab ainult vanu ARM protsessoreid, mis on haavatavad Spectre-v2 rünnakute suhtes ega toeta FEAT_CSV2_3 ja FEAT_CLRBHB laiendusi.

Indirect Target Selection (ITS, CVE-2024-28956) haavatavus mõjutab Intel Core 9.-11. põlvkonna (Cascade Lake, Cooper Lake, Whiskey Lake V, Coffee Lake R, Comet Lake, Ice Lake, Tiger Lake ja Rocket Lake) ja Intel Xeon 2.-3. põlvkonna protsessoreid. CVE-2025-24495 haavatavus avaldub Lunar Lake ja Arrow Lake mikroarhitektuuril põhinevates CPU-des. Probleemid on kõrvaldatud eilse mikrokoodi uuenduse kaudu. Linuxi kerneli on vastu võetud muudatus, mis blokeerib probleemi, viies kaudsed üleminekud vahemälu ülemisse ossa.

Allikas: opennet.ru