Pakutud on meetod rünnakuks kaugjuhtimisega mälufragmente määrata serveris

Graz Tehnika Ülikooli teadlaste rühm (Austria), kes on tuntud MDS, NetSpectre, Throwhammer ja ZombieLoad rünnakute arendamise poolest, avaldas uue rünnaku meetodi (CVE-2021-3714), mis kasutab kõrvalkanaleid mälu deduplikatsiooni mehhanismi (Memory-Deduplication) suhtes. See võimaldab kindlaks teha teatud andmete olemasolu mälus, korraldada baitide tasemel mälusisalduse leket või määrata mälu jaotuse ASLR-põhise kaitse ületamiseks. Uus meetod erineb varasemate deduplikatsiooni mehhanismi rünnakute variatsioonidest rünnaku teostamise osas väliselt hostilt, kasutades rünnaku algataja saadetud HTTP/1 ja HTTP/2 protokollide päringute vastuste ajamuutusi. Rünnaku teostamise võimalust on demonstreeritud Linuxi ja Windowsi põhiste serverite puhul.

Mälu deduplitseerimise mehhanismi rünnakud kasutavad andmete lekitamiseks kanali jaotust kirjutamise toimingu töötlemise ajal, kui andmete muutmine põhjustab deduplicaadieritud mälu lehe kloonimist Copy-On-Write (COW) mehhanismi kaudu. Protsessi käigus tuvastab südamik erinevate protsesside identseid mälu lehti ja liidab need, kuvades identseid mälu lehti ühes füüsilises mälu piirkonnas, säilitades vaid ühe koopia. Kui üks protsess proovib muuta andmeid, mis on seotud deduplitseeritud lehtedega, tekib erand (page fault) ning Copy-On-Write mehhanismi abil luuakse automaatselt eraldiseisev mälu lehe koopia, mis seotakse protsessiga. Kokkupaigutamise täitmiseks kulub täiendav aeg, mis võib viidata teiste protsessidega kattuvate andmete muutumisele.

Uurijad on näidanud, et COW-mehhanismi töö tulemusena tekkivad viivitused on tuvastatavad mitte ainult lokaalselt, vaid ka analüüsides vastuste edastamise aega võrgu kaudu. On välja pakutud mitu meetodit kau hosti mälu sisu määramiseks, analüüsides päringute täitmise aega protokollide HTTP/1 ja HTTP/2 kaudu. Salvestatavate mallide jaoks kasutatakse tüüpilisi veebirakendusi, mis salvestavad mällu päringutes saadud teavet.

Rünnaku üldine põhimõte seisneb mälu lehtede täitmises andmetega, mis potentsiaalselt kordavad juba serveris olevate mälu lehtede sisu. serveril Seejärel ootab ründaja aega, mis on vajalik tuumale deduplikatsiooni ja mälu lehtede ühendamiseks, pärast mida muudab ta kontrollitud andmete duplit ja hindab reageerimise aega, et määrata rünnaku õnnestumise taset.

Eksperimentide käigus oli teabe lekke maksimaalne kiirus 34,41 baiti tunnis globaalsete rünnakute korral ja 302,16 baiti tunnis kohalike rünnakute korral, mis on kiirem kui teised andmete hankimise meetodid kolmandate osapoolte kanalite kaudu (näiteks NetSpectre rünnaku korral on andmeedastuskiirus 7,5 baiti tunnis).

Pakutud on kolm ründevõimalust. Esimene variant võimaldab määrata andmed mälus veebiserver, kus kasutatakse Memcachedit. Rünnak koosneb teatud andmekogumite laadimisest Memcachedi mällu, dedupeeritud ploki puhastamisest, sama elementi uuesti kirjutamisest ning tingimuste loomise võimalusest COW-kloonimise tekkimiseks ploki sisu muutmise kaudu. Memcachediga tehtud katse tulemusena õnnestus 166,51 sekundi jooksul määrata libc versioon, mis on installitud virtuaalmasinas.

Teine variant võimaldas saada teavet MariaDB andmebaasi salvestiste kohta, kasutades InnoDB salvestuslahendust ja taastades sisu bait-baidilt. Rünnak toimub spetsiaalselt muudetud päringute saatmise kaudu, mis põhjustavad ühe baitiga mittevastavusi mälu lehtede vahel ning reaktsiooniaja analüüsi, et tuvastada, kas eeldus byte sisu osas oli õige. Sellise lekke kiirus on madal, umbes 1.5 baiti tunnis rünnaku korral kohalikus võrgus. Meetodi eeliseks on see, et seda saab kasutada tundmatu mälu sisu taastamiseks.

Kolmas variant võimaldas nelja minutiga täielikult mööduda KASLR kaitse mehhanismist ja saada teavet virtuaalmasina kernelipildi mälu nihke kohta, juhul kui nihke aadress asub mälu lehes, mille teised andmed ei muutu. Rünnak viidi läbi hostilt, mis asus 14 ülekande siirde (hops) kaugusel rünnatavast süsteemist. Koodi näidised nende rünnakute teostamiseks lubatakse avaldada GitHubis.

Allikas: opennet.ru