Nouvelle technique d'exploitation des vulnérabilités de type Spectre dans Chrome

Un groupe de chercheurs d'universités américaines, australiennes et israéliennes a proposé une nouvelle technique d'attaque par canaux latéraux pour exploiter les vulnérabilités de type Spectre dans les navigateurs basés sur le moteur Chromium. L'attaque, qui a reçu le nom de code Spook.js, permet, via l'exécution de code JavaScript, de contourner le mécanisme d'isolation des sites et de lire le contenu de tout l'espace d'adresses du processus actuel, c'est-à-dire d'accéder aux données des pages ouvertes dans d'autres onglets mais traitées dans un seul processus.

Comme Chrome lance différents sites dans différents processus, la possibilité de réaliser des attaques pratiques est limitée par les services permettant à différents utilisateurs de publier leurs pages. La méthode permet, depuis la page où l'attaquant peut intégrer son code JavaScript, de détecter la présence d'autres pages ouvertes par l'utilisateur provenant du même site et d'en extraire des informations confidentielles, par exemple les identifiants ou les coordonnées bancaires fournies par le système de saisie automatique des formulaires web. En guise de démonstration, il est montré comment attaquer un blog étranger sur le service Tumblr, si son propriétaire ouvre dans un autre onglet le blog de l'attaquant hébergé sur le même service.

Une autre possibilité d'application de cette méthode est l'attaque des extensions de navigateur, permettant, lors de l'installation d'une extension contrôlée par l'attaquant, d'extraire des données d'autres extensions. Par exemple, il est montré qu'en installant une extension malveillante, il est possible d'extraire des informations confidentielles du gestionnaire de mots de passe LastPass.

Les chercheurs ont publié un prototype d'exploit fonctionnant sur Chrome 89 sur des systèmes équipés de processeurs Intel i7-6700K et i7-7600U. Lors de la création de l'exploit, des prototypes de code JavaScript publiés antérieurement par Google pour réaliser des attaques de type Spectre ont été utilisés. Il est à noter que les chercheurs ont réussi à préparer des exploits opérationnels pour des systèmes basés sur des processeurs Intel et Apple M1, permettant une lecture de la mémoire à une vitesse de 500 octets par seconde avec une précision de 96 %. Il est supposé que la méthode est également applicable aux processeurs AMD, mais il n'a pas été possible de préparer un exploit entièrement fonctionnel.

L'attaque s'applique à tous les navigateurs basés sur le moteur Chromium, y compris Google Chrome, Microsoft Edge et Brave. Les chercheurs estiment également que la méthode pourrait être adaptée pour fonctionner avec Firefox, mais étant donné que le moteur Firefox diffère considérablement de Chrome, le travail sur la création d'un tel exploit a été laissé pour l'avenir.

Pour se protéger contre les attaques liées à l'exécution spéculative d'instructions via le navigateur, Chrome a mis en œuvre un découpage de l'espace d'adressage — l'isolation sandbox permet l'exécution de JavaScript uniquement avec des pointeurs de 32 bits et divise la mémoire des gestionnaires en tas (heap) non chevauchants de 4 Go. Pour organiser l'accès à tout l'espace d'adressage du processus et contourner la limitation de 32 bits, les chercheurs ont utilisé la technique Type Confusion, qui force le moteur JavaScript à traiter un objet avec un type incorrect, permettant ainsi de former un pointeur de 64 bits basé sur une combinaison de deux valeurs de 32 bits.

L'essence de l'attaque est que lors du traitement d'un objet malveillant spécialement conçu dans le moteur JavaScript, des conditions sont créées qui mènent à l'exécution spéculative d'instructions accédant à un tableau. L'objet est choisi de telle manière que les champs contrôlés par les attaquants sont placés dans une zone où un pointeur de 64 bits est utilisé. Étant donné que le type de l'objet malveillant ne correspond pas au type du tableau traité, ces actions sont normalement bloquées par le mécanisme de désoptimisation du code de Chrome, qui est utilisé pour accéder aux tableaux. Pour contourner ce problème, le code de l'attaque Type Confusion est déplacé dans un bloc conditionnel "if" qui n'est pas activé dans des conditions normales, mais qui s'exécute en mode spéculatif, lors d'une prédiction incorrecte du processeur pour le futur branchement.

En fin de compte, le processeur accède de manière spéculative à un pointeur de 64 bits formé et annule son état après avoir déterminé la prévision infructueuse, mais les traces d'exécution se déposent dans le cache général et peuvent être récupérées à l'aide de méthodes de détermination du contenu du cache par des canaux latéraux, qui analysent les changements du temps d'accès aux données mises en cache et non mises en cache. Pour analyser le contenu du cache dans des conditions de précision insuffisante du minuteur disponible en JavaScript, la méthode proposée par Google est utilisée, qui trompe la stratégie de remplacement de données du cache Tree-PLRU appliquée dans les processeurs, permettant ainsi d'augmenter considérablement la différence de temps en présence et en absence d'une valeur dans le cache grâce à l'augmentation du nombre de cycles.

Source : opennet.ru