Google demonstreeris Spectre haavatavuste ekspluateerimist JavaScripti täitmise kaudu brauseris.

Google on avaldanud mitmeid prototüüpe eksploiitidest, mis näitavad, kuidas klassi Spectre haavatavusi saab ära kasutada JavaScripti koodi täitmise teel brauseris, mööda varasemalt lisatud kaitsemeetodeid. Eksploidid võivad kasutada käitamise mäluruumi juurdepääsuks protsessile, mis töötleb veebisisu praeguses vahekaardis. Eksploidide töö testimiseks on käivitatud lehekülg leaky.page, ja kood, mis kirjeldab töö loogikat, on saadaval GitHubis.

Pakutud prototüüp on mõeldud rünnakute teostamiseks Intel Core i7-6500U protsessoritega süsteemides Linuxi ja Chrome 88 keskkonnas. Teiste keskkondade jaoks eksploiidi rakendamiseks on vajalikud muudatused. Ekspluateerimise meetod ei ole spetsiifiline Intel protsessorite jaoks — pärast vastava kohandamise tegemist on eksploidi töö tõestatud ka teiste tootjate CPU-dega süsteemides, sealhulgas Apple M1 ARM arhitektuuril. Pärast väikseid muudatusi on eksploidi töö samuti tagatud teistes operatsioonisüsteemides ja teistes brauserites, mis põhinevad Chromiumi mootoril.

Chrome 88 baasil töötavate Intel Skylake protsessoritega keskkonnas õnnestus uutest Chrome'i vahekaartidest andmete lekkimist renderer-protsessi kaudu saavutada kiirusel 1 kilobait sekundis. Lisaks töötati välja alternatiivsed prototüübid, sealhulgas exploit, mis võimaldab stabiliteedi languse hinnaga suurendada lekke kiirust 8 kB/s, kasutades performance.now() taimerit 5 mikrosekundilise täpsusega (0,005 millisekundit). Samuti valmistati ette variant, mis töötab ühe millisekundi täpsusega taimeril, mille abil oli võimalik korraldada juurdepääs teise protsessi mälu kaudu, kiirusel umbes 60 baiti sekundis.

Avaldatud demo kood koosneb kolmest osast. Esimene osa kalibreerib taimeri, et hinnata operatsioonide täitmise aega, mis on vajalik andmete taastamiseks, mis jäävad protsessori vahemällu spekulatiivsete CPU juhiste täitmise tulemusena. Teine osa määrab kindlaks sellele JavaScripti massiivi paigutamiseks kasutatud mälu paigutuse.

Kolmas osa teostab otsese ekspluateerimise Spectre haavatavuse kaudu, et määrata käimasoleva protsessi mälu sisu, luues tingimused teatud operatsioonide spekulatiivseks täitmiseks, mille tulemused jäetakse protsessori poolt kõrvale, kui ebaõnnestunud prognoos on tuvastatud. Kuid täitmisjäljed jäävad üldsesse vahemäesse ja neid saab taastada, kasutades vahemäe sisu tuvastamise meetodeid, mis analüüsivad aegade muutumist vahemälusse ja mittevahemälusse salvestatud andmete vahel.

Kavandatud ekspluateerimistehnika võimaldab kasutada ilma väga täpsete taimeriteta, mis on saadaval API performance.now() kaudu, ja ilma SharedArrayBuffer tüübi toeta, mis võimaldab luua jagatud mälus massiive. Eksploit sisaldab Spectre'iga seotud nuppu, mis kutsub esile juhitava spekulatiivse koodi täitmise, ja kõrvalkanali leket analüüsivat juhtumit, mis tuvastab vahemälusse sattunud andmed, mis on saadud spekulatiivse täitmise käigus.

Seade on rakendatud JavaScripti massiivi abil, mille käigus püütakse ligi pääseda ala, mis on väljaspool puhverduspiire, mõjutades harukäigu ennustamise blokeerimise seisundit tänu kompilaatori poolt lisatud puhverdusvahe kontrollimisele (protsessor täidab spekulatiivselt jõudlust, kuid taastab seisundi pärast kontrollimist). Kappide sisu analüüsimiseks, kui taimeri täpsus on madal, on välja pakutud meetod, mis petab protsessorites rakendatavat Tree-PLRU andmete väljavõtmise strateegiat, võimaldades oluliselt suurendada tsüklite arvu, et suurendada aega, mis kulub väärtuse tagastamiseks vahemälust ja selle puudumisega vahemälus.

On märgitud, et Google on avaldanud prototüübi eksploidist, et demonstreerida rünnakute reaalsust, mis kasutavad Spectre klassi haavatavusi, ning stimuleerida veebiarendajaid rakendama tehnikaid, mis vähendavad sarnaste rünnakute riske. Samuti arvab Google, et ilma oluliste muudatusteta esitatud prototüübis ei ole võimalik luua universaalseid eksploite, mis oleksid valmis mitte ainult demonstreerimiseks, vaid ka laialdasemaks kasutamiseks.

Veebilehtede omanikele soovitatakse vähendada riski, kasutades hiljuti rakendatud Cross-Origin Opener Policy (COOP), Cross-Origin Embedder Policy (COEP), Cross-Origin Resource Policy (CORP), Fetch Metadata Request, X-Frame-Options, X-Content-Type-Options ja SameSite Cookie. Need mehhanismid ei kaitse otseselt rünnakute eest, kuid võimaldavad eraldada veebisaidi andmed protsessidest, milles võib täituda ründaja JavaScripti kood (lekke korral toimub see praeguse protsessi mälust, kus ründaja koodiga võivad töötlemiseks olla kaasatud ka teiste veebisaitide andmed, mis on avatud samas vahelehes). Põhiidee on eraldada veebisaidi koodi täitmine ründajate, ebaturvalistelt allikatelt saadud koodist, näiteks iframe'i kaudu sisse lülitatud koodist.

Allikas: opennet.ru