SWAPGS — uus haavatavus CPU spekulatiivse täitmise mehhanismis

Bitdefenderi teadlased tuvastasid uue haavatavuse (CVE-2019-1125) tänapäevaste CPUde spekulatiivse täitmise mehhanismis, mis sai nimeks SWAPGS, mis viitab probleemile tekitavale protsessorikäsklusele. Haavatavus lubab võimaldab ebautorisatud ründajal määrata tuuma või käivitatud virtuaalmasinate mälu alade sisu. Probleem on kinnitatud Intel (x86_64) protsessorites ja osaliselt puudutab AMD protsessorites, mille puhul peamine rünnakuvektor ei avaldu. Varasemad meetodid Spectre ja Meltdown haavatavuste vastu ei kaitse SWAPGS rünnaku eest Intel protsessoritel, kuid Linuxi, ChromeOS-i, Androidi ja Windowsi jaoks on juba pakutud parandusi.

Haavatavus kuulub Spectre v1 klassi ja põhineb ideel taastada andmeid protsessori vahemälust, mis on jäänud pärast spetsiifiliste käskude spekulatiivset täitmist. Kaasaegsete CPU-de harudeprediktsiooniblokid kasutavad jõudluse suurendamiseks teatud käskude eelnevate täitmist, mis tõenäoliselt täidetakse, kuid ei oota, kuni kõik täitmise määravad tegurid on välja arvutatud (näiteks siis, kui hüppeolud või ligipääsu parameetrid pole veel välja arvutatud). Kui ennustus ei pea paika, loob protsessor spekulatiivse täitmise tulemuse, kuid selle käigus töödeldud andmed jäävad protsessori vahemälu ja neid saab taastada vahemälu sisu kindlaksmäärimise meetodite abil, mis analüüsivad aegade muutust juurde pääsemise vahemällu salvestatud ja mitte salvestatud andmetele.

Uue rünnaku eripära on seotud lekkega, mis tekib spekulatiivse täitmise käigus, kus kasutatakse SWAPGS käsku. See käsk on operatsioonisüsteemides, et asendada GS registri väärtus, kui kontrolli suunamine toimub kasutaja ruumist OS-i tuuma (kasutaja ruumis kasutatav GS väärtus asendatakse tuumaoperatsioonide puhul kasutatava väärtusega). Linuxi tuumas salvestatakse GS-s per_cpu viit, mida kasutatakse tuumandmete ligipääsuks, samas kui kasutaja ruumis on viidatud TLS-ile (Thread Local Storage).

Kaksikordse SWAPGS-i käitamise välistamiseks tuumast väljakutse tegemisel tuumaruumi või kui täidetakse koodi, mis ei vaja GS registreerimise vahetamist, tehakse kontroll enne käsku ja tingimuslik hüpe. Erakordse täitmise mehhanism hüppab eelnevalt SWAPGS-i käskluse koodile, ootamata kontrolli tulemuse kohta, ja kui valitud haru ei kinnitu, visatakse tulemus negatiivselt ära. Nii võib tekkida olukord, kus spekulatiivselt valitakse haru, mis ei ole ette nähtud SWAPGS-i täitmiseks, kuid spekulatiivse täitmise käigus muudetakse GS registri väärtust SWAPGS käskluse kaudu ning seda kasutatakse sõltuvates mäluoperatsioonides, mis jäävad CPU vahemällu.

Uuringud on pakkunud kahte rünnaku stsenaariumi, mille jaoks on valmistatud prototüübid eksploitide jaoks. Esimene stsenaarium põhineb olukorral, kus käsk SWAPGS ei täideta spekulatiivselt, kuigi seda kasutatakse tegeliku täitmise ajal, ja teine, vastupidi, kui käsk SWAPGS täidetakse spekulatiivselt, kuigi see tegelikult ei peaks. Iga stsenaariumi jaoks on ette nähtud kaks ekspluateerimise varianti: ründaja saab määrata väärtuse kindlas aadressis tuumaruumis ja ründaja võib otsida kindlat väärtust juhuslikes aadressides tuumas. Rünnaku läbiviimine on aeganõudev ja lekke korraldamiseks võib eksploiti olla vajalik käivitada mitu tundi.

Linuxi tuumas on probleem eemaldatud SWAPGS-i käivitamise loogika muutmise kaudu (spekulatiivse täitmise blokeerimine), sarnaselt muude Spectre v1 klassi haavatavuste parandamisega. Eeldatakse, et lisatud kaitse mõjutab tüüpiliste töökoormuste jõudlust minimaalselt. Viivitus tekib kasutajaruumi ja kerneliruumi vahetamise etapis, mis võib põhjustada jõudluse langust, näiteks rakendusest sagedaste süsteemikutsungite täitmise või NMI ja katkestuste sagedase genereerimise korral.

Parandus nõuab kernelivärskenduse installimist nii peamisel süsteemil kui külalistel keskkondadel koos järgneva süsteemi taaskäivitamisega. Linuxis kaitse väljalülitamiseks saab kasutada valikut „nospectre_v1”, mis keelab ka SWAPGS haavatavuse blokeerimise meetmed. Parandus on saadaval patš Linuxi tuuma jaoks, mis on juba osa versioonidest 4.19.65, 5.2.7, 4.14.137, 4.9.188 ja 4.4.188. Linuxi jaotiste värskendused pole veel välja antud (Debian, RHEL, Fedora, Arch Linuxis, SUSE/openSUSE, Ubuntu). Windowsis lahendati probleem ilma liigse avalikkuse tähelepanuta juulikuu värskenduses. Google valmistas parandus 4.19 tuumale, mis on pakitud ChromeOS-i ja Android.

Bitdefenderi teadlaste sõnul oli Intel probleemist teadlik juba eelmise aasta augustis. Probleem otsustati lahendada tarkvaraliselt, milleks kaasati Microsofti, Google'i ja Linuxi kerneli arendajad. Vanemate Intel'i protsessorite, mis on kuni Ivy Bridge'i põlvkonnani, ründamine on oluliselt keerulisem, kuna nad ei toeta WRGSBASE käsku, mida eksploitis kasutati. ARM, POWER, SPARC, MIPS ja RISC-V süsteemid ei ole probleemile vastuvõtlikud, kuna nad ei toeta SWAPGS käsku.

Probleem ohustab peamiselt Intel'i protsessorite omanike huve —
AMD süsteemides õnnestus reprodutseerida ainult teise rünnaku stsenaariumi, mis on piiratud spekulatiivse GS registri algväärtuse töötlemisega, mida saab kasutada teatud väärtuste leidmiseks juhuslikes mälualadustes. Selle rünnakuvõimaluse blokimisel on piisavalt on olemasolevad kaitsemeetodid Spectre v1 haavatavuste vastu.

Allikas: opennet.ru