TONTOU — rünnak Intel ja AMD CPU-dele, mis võimaldab Spectre v2 haavatavuste kaitse ületamist.

Massachusetts Institute of Technology teadlased tuvastasid TONTOU (Time-of-Neutralization to Time-of-Use) rünnetehnika, mis pakub uut viisi Spectre v2 klassi mikroarhitektuuri haavatavuste ära kasutamiseks. See haavatavus võimaldab määrata tuumamälu sisu, kui eksploiti käitatakse kasutaja ruumis. Kood haavatavuse ära kasutamise blokeerimiseks lisati Linuxi tuumasse 5. augustil ning see on sisaldatud versioonides 7.1.7, 6.18.43, 6.12.102, 6.6.149, 6.1.181, 5.15.214 ja 5.10.263.

Teadlased demonstreerisid, et kohalik alaliselt privileege mitteomav kasutaja võib rünnata, et määrata tuumkasutaja root parooli hash, mis on salvestatud failis /etc/shadow ja laetud mällu autentimise käigus. Teadlastele õnnestus saada haavatavustest tuumamälust andmete lekkimist kiirusel 5.47 baiti sekundis ja täpsusega 91.97%. 10 testimise käivitamisest keskmiselt 18 minuti jooksul, õnnestus pooltes katsetes edukalt kindlaks teha, et fail /etc/shadow on mälu olemas ning selle sisu välja tõmmata.

Eksploit on demonstreeritud AMD protsessoritega süsteemidel ja seda saab kasutada AMD Zen 1-4 protsessorite peredes. Intel süsteemidel on rünne samuti teostatav, kuid eksploiteerimine on keerulisem. Stack'i tagasijaotamise ülevoolu ja SRSO (Speculative Return Stack Overflow) haavatavuse kaitsmiseks kasutavad AMD protsessorid Safe-RET kaitsemehhanismi, mis puhastab haruprogrammi puhver pärast iga kasutamist ja kitsendab rünnaku ajalimiiti kahele instruktsioonile, mis teostatakse mõne kümnendi nanosekundi jooksul.

Selle kaitse meelevalda ja rünnaku akna laiendamiseks on rakendatud protsessori aeglustamise tehnikat, võimaldades häiret asendada õigeaegselt, et suunata täitmisvoog tuumas ja kasutada häire töötlejat käitumise moonutamiseks sõltumatute kontekstide prognoosimisaparaadis. Kreeditäpsuse ärakasutamiseks saab ründaja luua tingimusi, kus spekuleeriv haru bloki käivitamine teeb arvatust palju vale prognoosi CALL kutseid, mis on piisav, et ületada tagastusadresside sihtmärkide virn ja kirjutada õigesti prognoositud tagastuspunktid, mis asuvad virna alguses. Tulemuseks saavad virna algse elemendi väärtused, mille ründaja valis, üle kirjutatuks, mis põhjustab nende asendatud väärtuste kasutamise spekuleeriva RET käsu täitmiseks teise protsessi kontekstis.

Protsessor määrab, et haru prognoos ei õigustanud end ja tagastab operatsiooni algseisundisse, kuid spekuleerimise käigus töödeldud andmed jäävad mällu ja mikroarhitektuursetesse puhverdesse. Kui vale prognoositud blokil on mälu aadress, viib selle spekuleerimine üldisesse mällu ja andmete lugemiseni mälust. Kelmuse sattumiste määramiseks vahemällu võib kasutada ühte meetodit, mis põhineb puhversisu muutmise ajanalüüsil joogitaseme ja mittejoogitaseme andmetele.

Allikas: opennet.ru