eBPF-i haavatavused, mis võimaldavad Spectre 4 rünnakute kaitse mööda minna

Linuxi tuumas avastati kaks haavatavust, mis võimaldavad eBPF-ala kasutamist Spectre v4 (SSB, Speculative Store Bypass) rünnakute kaitse ümbersuunamiseks. Kasutades privilgeeritud BPF-programmi, saab ründaja luua tingimused teatud toimingute spekulatiivseks täitmiseks ja määrata kindlaks juhuslike tuumamälu alade sisu. eBPF alamprotsessid tuumas said juurdepääsu eksploiteerimise prototüübile, mis demonstreerib rünnakute teostamise võimalust praktikas. Probleemid on lahendatud patch'ide vormis (1, 2), mis lisatakse järgnevasse Linuxi tuuma värskendusse. Vääriskohenduste paketid ei ole veel loodud (Debian, RHEL, SUSE, Arch, Fedora, Ubuntu).

Spectre 4 rünnakumeetod põhineb arhiivitud andmete taastamisel protsessori vahemälust pärast spekulatiivsete tehete tulemuse eemaldamist, kui töödeldakse vahelduvaid kirjutamis- ja lugemisoperatsioone, kasutades kaudset adresseerimist. Kui lugemisoperatsioon järgneb kirjutamisoperatsioonile (näiteks mov [rbx + rcx], 0x0; mov rax, [rdx + rsi]), siis võib lugemise aadressi nihke juba teada olla sarnaste operatsioonide täitmise tõttu (lugemisoperatsioonide teostamine toimub oluliselt sagedamini ja lugemine võib toimuda vahemälust) ning protsessor võib spekulatiivselt lugemist teostada enne kirjutamist, ootamata, kuni kaudse adresseerimise nihkega seondunud väärtus arvutatakse.

Kui pärast nihke arvutamist tuvastatakse mälu kirjutamise ja lugemise alade ühisosa, loob protsessor lihtsalt juba spekulatiivselt saadud lugemisresultaadi. See omadus võimaldab lugemisjuhisel ligi pääseda vana väärtusele teatud aadressil samal ajal, kui salvestamise operatsioon ei ole veel lõpetatud. Pärast ebaõnnestunud spekulatiivse operatsiooni tagasilükkamist jäävad vahemällu tema toimimise jäljed, mille järel võib selle sisu määramiseks kasutada üht meetodit, mis analüüsib pääsuaegade muutusi vahemälustatud ja mitte-vahemälustatud andmete vahel.

Esimene haavatavus (CVE-2021-35477) on põhjustatud BPF-i programmide kontrollimise mehhanismi puudulikkusest. Rünnaku Spectre 4 vastu kaitsmiseks lisab valideerija pärast potentsiaalselt probleemseid mälu salvestamise operatsioone täiendava käsu, mis salvestab nullväärtuse, et tõrjuda eelmiste operatsioonide jälgi. Eeldati, et nulli kirjutamise operatsioon toimub väga kiiresti ja takistab spekulatiivset täitmist, kuna see sõltub ainult BPF-i virna näidikust. Kuid praktikas osutus võimalikuks luua tingimusi, milles spekulatiivset täitmist põhjustav käsk jõuab enne tõrjuvat salvestamist täita.

Teine haavatavus (CVE-2021-3455) on seotud sellega, et BPF verifikaatori poolt tuvastatud potentsiaalselt ohtlike mälu kirjutamise operatsioonide puhul ei arvestata BPF-i algatamata piirkondi, mille esimene kirjutamisoperatsioon ei ole kaitstud. Selline omadus toob kaasa võimaluse teostada spekulatiivset lugemistoimingut, mis sõltub algatamata mälu piirkonnast, enne kirjutamisjuhise täitmist. Uus mälu BPF-i kuhja jaoks eraldatakse ilma olemasoleva sisu kontrollimata ja BPF-programmi käivitamise eel on võimalik hallata seda mälu piirkonda, mis seejärel eraldatakse BPF-puhvri jaoks.

Allikas: opennet.ru