Training Solo — uued rünnakuvõimalused Spectre-v2, mis mõjutavad Intel CPU-d

Amsterdam Free University teadlastest koosnev grupp tuvastas mitu uut Spectre-v2 klassi haavatavust, mis on avaldatud koodnime all Training Solo ja mis võimaldavad mööduda mäluekidest. Virtuaaliseerimissüsteemide kontekstis võimaldavad need haavatavused tuvastada host-ümbruse mälu sisu külgsüsteemidest, samas kui serverite kontekstis võimaldavad need tuvastada tuuma mälu sisu kasutaja ruumis teostatud eksploitide ajal. Näiteid selliste rünnakute eksploitidest on avaldatud GitHubis. Esitatud eksploidid võimaldavad eraldada suvalisi andmeid tuuma mälust kiirusel 17 KB/sek ja hüperviisori mälust kiirusel 8.5 KB/sek.

Spectre-v2 rünnakutes kasutatakse andmete lekkimiseks haru sihtmärkide puhver (Branch Target Buffer) või haru ajaloo puhver (Branch History Buffer) väärtuste asendamist, mida rakendatakse järgmise haru operatsiooni ennustamiseks. Ajaloo manipulatsioonide kaudu luuakse vale haru ennustamise tingimused spekulatiivsete juhiste täitmise ajal. Ründaja ülesanne on tagada, et spekulatiivse haru operatsiooni täitmisel võetakse siht aadress soovitud mälu piirkonnast. Pärast spekulatiivse siirde täitmist jääb protsessori vahemällu loetud mälu aadress (aadressina loetakse mäluandmed, mis ründajale vajalikud). Teabe väljavõtmiseks vahemälust võib kasutada ühte meetodit, mis põhineb vahemälu sisesisu määramisel, analüüsides juurdepääsuaegade muutusi puhverdatud ja mittepuhverdatud andmetele.

Training Solo rünnakumeetodid on suunatud väljundinterpretatsiooni mehhanismide (domaine isolatsioon) ületamisele, nagu IBPB, eIBRS ja BHI_NO, mida kasutatakse Spectre-v2 rünnakute blokeerimiseks. Näiteks IBPB (kaudsete harude ennustamise barjäärid) käsu täitmine resettib harude ennustamise ploki oleku igas konteksti vahetuses — kasutajaruumi ja tuuma vahel või külgplatformi ja hosti keskkonna vahel. Oleku reset takistab isiklike koodide kasutamist, et mõjutada kaudsete harude ennustamise ploki käitumist.

Training Solo meetodite eripära on see, et sihtbloki ennustuste mõjutamiseks ei soovitata käivitada ründaja kontrolli all olevat koodi, vaid kasutada juba privileegide täitmise piirkonnas (tuum või hüperviisor) olevat koodi, millele ründaja juurdepääsu saab. Muus osas sarnanevad meetodid klassikalise Spectre-v2 rünnakuga. Lisaks tuvastasid teadlased kaks riistvaralist probleemi (CVE-2024-28956 ja CVE-2025-24495), mis võimaldavad täielikult mööduda täitmispiirkondade isolatsioonist ja rakendada lekkeid teiste kasutajate, teiste virtuaalmasinate või host-keskkonna protsessidest.

Training Solo rünnakute kolm tüüpi on ette pandud:

• Töötlemise loogika moonutamine üleminekute prognoosi tõttu, mis põhineb juba olemasolevate käskude (vidinate) järjestuste kutsel, mis mõjutavad üleminekute ajaloo puhverdatud sisu. Selliste vidinate kasutamiseks on soovitatud rakendada süsteemi kutsungite juurdepääsu piirangute mehhanismi SECCOMP, mis võimaldab enda BPF-filtrite asendamise kaudu saavutada vale kaudse ülemineku spekuleerimise režiimis (SECCOMP-i filtrid on määratud klassikalise cBPF-i abil, mis on vaikimisi sisse lülitatud erinevalt eBPF-ist). Intel Tiger Lake'i ja Lion Cove'i CPU-de testimisel oli selle meetodi kasutamise käigus andmete lekke kiirus 1.7KB/sekundis.
• IP-kollisioonide (Instruction Pointer) kasutamine üleminekute prognoosimise plokis. Ründaja võib luua tingimusi, kus spekuleerimise jaoks valitud aadress põhineb ainult juba puhvris olevatel üleminekuaadressidel, arvestamata üleminekute ajalugu. Idee seisneb selles, et üks kaudse ülemineku operatsioon võib mõjutada teist, kui nende aadresside hashide (BTB - Branch Target Buffer) salvestamisel ilmneb kollisioon.
• Otseste vahetuste mõju kaudsete vahetuste ennustamisel. Sellist käitumist põhjustavad kaks riistvarauuringut: CVE-2024-28956 — ITS (Indirect Target Selection) ja CVE-2025-24495 — probleem Intel'i protsessorites Lion Cove'i tuumadega. Selle meetodi kasutamise ajal andmete lekke kiirus mälu kaudu oli 17 KB/sec. Demonstreeritud eksploit passwordi root kasutaja hash'i määramiseks, mis oli salvestatud mällu pärast käsku „passwd -s”, kestis 60 sekundit.

Rünnak, mis moonutab vahepealsete vahetuste ajalugu, on haavatav kõigis Intel'i protsessorites, mis toetavad eIBRS mehhanismi, sealhulgas Intel Coffee Lake ja Lion Cove protsessorites. Haavatavuse blokeerimiseks on Intel välja andnud mikrokoodi värskenduse, mis sisaldab uut käsku IBHF (Indirect Branch History Fence), mille soovitatakse määrata koodi järel, mis mõjutab vahepealsete vahetuste ajalugu. Vanemate Intel protsessorite jaoks on soovitatav kasutada vahepealsete vahetuste ajaloo puhastamiseks tarkvaralist meetodit. Linux'i tuumasse on tehtud muudatus, mis lisab tarkvaralise ja riistvaralise... rünnakute kaitse, mis kasutavad cBPF-d. AMD teatas, et selle protsessoritel see rünnaku meetod ei toimi. ARM teatas, et probleem puudutab ainult vanu ARM protsessoreid, mis on haavatavad Spectre-v2 rünnakute suhtes ja ei toeta FEAT_CSV2_3 ja FEAT_CLRBHB laiendusi.

Kaudse sihtimise valiku (ITS, CVE-2024-28956) haavatavus mõjutab Intel Core 9-11. põlvkonna protsessoreid (Cascade Lake, Cooper Lake, Whiskey Lake V, Coffee Lake R, Comet Lake, Ice Lake, Tiger Lake ja Rocket Lake) ning Intel Xeon 2-3. põlvkonna protsessoreid. Haavatavus CVE-2025-24495 ilmneb Lunar Lake ja Arrow Lake mikroarhitektuuriga protsessoritel. Probleemid on kõrvaldatud eilse mikrokoodi uuendusega. Linuxi kernelisse on vastu võetud muudatus, mis blokeerib probleemid, viies kaudsed hargnemised vahemälu ülemisse ossa.

Allikas: opennet.ru