Massachusetts Institute of Technologyn tutkijat ovat tunnistaneet TONTOU-hyökkäystekniikan (Time-of-Neutralization to Time-of-Use), joka tarjoaa uuden tavan hyödyntää Spectre v2 -luokan mikroarkkitehtuurisia haavoittuvuuksia. Haavoittuvuuden avulla voidaan selvittää ytimen muistin sisältö, kun hyökkäys suoritetaan käyttäjätilassa. Ytimeen on integroitu koodi haavoittuvuuden hyödyntämisen estämiseksi. Linux 5. elokuuta ja sisältyi julkaisuihin 7.1.7, 6.18.43, 6.12.102, 6.6.149, 6.1.181, 5.15.214 ja 5.10.263.
Tutkijat osoittivat paikallisen, etuoikeudettoman käyttäjän hyökkäyksen toteutettavuuden pääkäyttäjän salasanan tiivisteen (hash) selvittämiseksi, joka on tallennettu /etc/shadow-tiedostoon ja ladattu muistiin järjestelmän todennuksen aikana. Tutkijat vuotivat onnistuneesti tietoja ytimen muistista 5.47 tavun sekunnissa nopeudella ja 91.97 %:n tarkkuudella. Kymmenestä hyväksikäyttötestistä, jotka kestivät keskimäärin 18 minuuttia, puolet ajasta he onnistuivat havaitsemaan /etc/shadow-tiedoston läsnäolon muistissa ja purkamaan sen sisällön.
Hyökkäys esiteltiin AMD-prosessoreilla varustetuissa järjestelmissä, ja sitä voidaan käyttää Zen 1-4 -tuoteperheiden AMD-suorittimissa. Hyökkäys on mahdollinen myös Intel-järjestelmissä, mutta hyväksikäyttö on monimutkaisempi. Suojautuakseen paluupinon ylivuodotuksilta ja estääkseen SRSO-haavoittuvuuden (Speculative Return Stack Overflow), AMD-prosessorit käyttävät Safe-RET-suojausmekanismia, joka tyhjentää haarautumisennustepuskurin jokaisen käyttökerran jälkeen ja kaventaa hyökkäysikkunan kahteen käskyyn, jotka suoritetaan muutaman kymmenen nanosekunnin sisällä.
Tämän suojauksen ohittamiseksi ja hyökkäysikkunan laajentamiseksi toteutettiin suorittimen hidastustekniikka, joka mahdollisti keskeytysten korvaamisen oikealla hetkellä, mikä ohjasi suoritusvirran uudelleen ytimen sisällä ja käytti keskeytyskäsittelijää haarautumisennustepuskurin merkintöjen korruptoimiseen. SRSO-haavoittuvuuden hyödyntämiseksi hyökkääjä voi luoda olosuhteita, joissa haarautumisennusteyksikkö suorittaa spekulatiivisesti suuren määrän väärin ennustettuja CALL-kutsuja, jotka riittävät palautusosoitepinon ylivuotoon ja korvaamaan pinon alussa sijaitsevat oikein ennustetut paluupisteet. Tämän seurauksena pinon alkuperäiset elementit voidaan korvata hyökkääjän valitsemilla arvoilla, mikä johtaa näiden korvattujen arvojen käyttöön RET-käskyn spekulatiivisen suorittamisen aikana toisen prosessin kontekstissa.
Suoritin määrittää, että haarautumisen ennustus oli virheellinen, ja peruuttaa operaation, mutta spekulatiivisen suorituksen aikana käsitellyt tiedot pysyvät välimuistissa ja mikroarkkitehtuuripuskureissa. Jos virheellisesti suoritettu lohko käyttää muistia, sen spekulatiivinen suoritus johtaa myös siihen, että muistista luetut tiedot pysyvät jaetussa välimuistissa. Tietojen hakemiseksi välimuistista voidaan käyttää menetelmää välimuistin sisällön määrittämiseksi analysoimalla välimuistissa olevien ja ei-välimuistissa olevien tietojen käyttöaikojen muutoksia.
Lähde: opennet.ru
