eBPF haavatavused, mis võimaldavad Spectre 4 rünnaku kaitse ringi viia.

Linux'i tuumas on tuvastatud kaks haavatavust, mis võimaldavad kasutada eBPF alamsüsteemi Spectre v4 (SSB, spekulatiivse salvestamise ümbersuunamine) rünnakutest kaitsmise ümberkasutamiseks. Kasutades privileegideta BPF-programmi, võib ründaja luua tingimused teatud operatsioonide spekulatiivseks täitmiseks ja määrata tuuma juhuslike mälualade sisu. eBPF alamsüsteemid tuumas on saanud kätte eksploiteerimise prototüübi, mis demonstreerib rünnakute võimalust praktikas. Probleemid on lahendatud plaastrites (1, 2), mis kuuluvad järgmisse Linuxi tuuma värskendusse. Värskendusi distributsioonides (Debian, RHEL, SUSE, Arch, Fedora, Ubuntu) ei ole veel loodud.

Spectre 4 rünnaku meetod põhineb andmete taastamisel, mis on procesaari vahemälus jäänud pärast spekulatiivse täitmise tulemuse tagasi lükkamist kirjutamise ja lugemise vaheldumise operatsioonide käitlemisel, kasutades kaudset adresseerimist. Kui lugemisoperatsioon järgneb kirjutamisoperatsioonile (näiteks, mov [rbx + rcx], 0x0; mov rax, [rdx + rsi]), võib lugemisadresseerimise nihke väärtus olla juba tuntud, kuna on tehtud sarnaseid operatsioone (lugemisoperatsioonid toimub oluliselt sagedamini ja lugemine võib toimuda vahemälust), ning protsessor võib spekulatiivselt lugemist enne kirjutamist täita, ootamata, kuni kaudse adresseerimise nihke väärtus arvutatakse.

Kui nihke arvutamise järel tuvastatakse mälualade ühtimine kirjutamise ja lugemise jaoks, lükkab protsessor tagasi juba spekulatiivselt saadud lugemise tulemuse ja kordab seda operatsiooni. See omadus võimaldab lugemisinstruktsioonil pääseda vanale väärtusele mingi aadressi juures, samal ajal kui salvestamise operatsioon pole veel lõpetatud. Pärast ebaõnnestunud spekulatiivse operatsiooni tagasi lükkamist jäävad vahemälusse jäljed selle täitmisest, mille järel võib selle sisu väljavõtmiseks kasutada üht meetoditest, mis põhinevad vahemälu juurdepääsu aja muutmise analüüsil.

Esimene haavatavus (CVE-2021-35477) on tingitud puudujääkidest BPF-programmide kontrollimise mehhanismis. Spectre 4 rünnaku eest kaitsmiseks lisab valideerija pärast potentsiaalselt probleemsete mälu salvestamise operatsioonide tegemist lisakäsu, mis salvestab nullväärtuse, et hävitada eelmise operatsiooni jälgi. Eeldati, et nulli kirjutamise operatsioon toimub väga kiiresti ja blokeerib spekulatiivse täitmise, kuna see sõltub ainult BPF-steki kaadrinäidikust. Kuid tegelikkuses osutus võimalikuks luua tingimusi, kus spekulatiivse täitmise käsk jõuab täita enne hävitavat salvestamist.

Teine haavatavus (CVE-2021-3455) on seotud sellega, et kui BPF-valideerija tuvastab potentsiaalselt ohtlikke mälu salvestamise operatsioone, ei arvestata BPF-steki initsialiseerimata alasid, mille esimene kirjutamise operatsioon ei ole kaitstud. Selline eripära võimaldab spekulatiivset lugemistegevust, mis sõltub initsialiseerimata mälu alast, enne salvestamise käsu täitmist. BPF-steki jaoks eraldatakse uus mälu ilma olemasoleva mälu sisu kontrollimata ning enne BPF-programmi käivitamist on võimalik kontrollida nüüd eraldatud mälu sisu.

Allikas: opennet.ru