{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2014 nouvelles variantes d'attaque Spectre-v2 touchant le CPU Intel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un groupe de chercheurs de l'Universit\u00e9 libre d'Amsterdam a identifi\u00e9 plusieurs nouvelles vuln\u00e9rabilit\u00e9s de type Spectre-v2, publi\u00e9es sous le nom de code Training Solo, qui permettent de contourner les m\u00e9canismes d'isolation de la m\u00e9moire. Dans le contexte des syst\u00e8mes de virtualisation, ces vuln\u00e9rabilit\u00e9s permettent de d\u00e9terminer le contenu de la m\u00e9moire de l'environnement h\u00f4te \u00e0 partir des syst\u00e8mes invit\u00e9s, et dans le contexte des serveurs, de d\u00e9terminer le contenu de la m\u00e9moire du noyau lors de l'ex\u00e9cution d'un exploit dans l'espace utilisateur. Des exemples d'exploits pour r\u00e9aliser de telles attaques ont \u00e9t\u00e9 publi\u00e9s sur GitHub. Les exploits pr\u00e9sent\u00e9s permettent d'extraire des donn\u00e9es arbitraires de la m\u00e9moire du noyau \u00e0 une vitesse de 17 Ko\/s, et de la m\u00e9moire de l'hyperviseur \u00e0 8,5 Ko\/s. <\/p>\n
Dans les attaques de type Spectre-v2, la fuite de donn\u00e9es est organis\u00e9e par l'injection de valeurs dans le tampon d'adresses de branchement (Branch Target Buffer) ou le tampon d'historique de branchement (Branch History Buffer), utilis\u00e9s pour pr\u00e9dire la prochaine op\u00e9ration de branchement. \u00c0 travers des manipulations de l'historique de branchement, des conditions de pr\u00e9diction incorrecte de branchement sont cr\u00e9\u00e9es lors de l'ex\u00e9cution sp\u00e9culative des instructions. La t\u00e2che de l'attaquant est de s'assurer que lors de l'op\u00e9ration sp\u00e9culative de branchement, l'adresse de branchement provienne de la zone m\u00e9moire souhait\u00e9e. Apr\u00e8s l'ex\u00e9cution du branchement sp\u00e9culatif, l'adresse de branchement lue de la m\u00e9moire reste dans le cache processeur (sous la forme d'adresse, les donn\u00e9es n\u00e9cessaires \u00e0 l'attaquant sont lues depuis la m\u00e9moire). Pour extraire des informations du cache, l'une des m\u00e9thodes de d\u00e9termination du contenu du cache peut \u00eatre utilis\u00e9e sur la base de l'analyse des variations de temps d'acc\u00e8s aux donn\u00e9es mises en cache et non mises en cache. <\/p>\n
Les m\u00e9thodes d'attaque Training Solo visent \u00e0 contourner les m\u00e9canismes d'isolation des domaines d'ex\u00e9cution, tels que IBPB, eIBRS et BHI_NO, utilis\u00e9s pour bloquer les attaques de type Spectre-v2. Par exemple, l'instruction IBPB (Indirect Branch Prediction Barriers) permet de r\u00e9initialiser l'\u00e9tat du bloc de pr\u00e9diction de branche lors de chaque changement de contexte \u2014 lors du passage de contr\u00f4le entre l'espace utilisateur et le noyau, ou entre le syst\u00e8me invit\u00e9 et l'environnement h\u00f4te. La r\u00e9initialisation de l'\u00e9tat bloque la possibilit\u00e9 d'utiliser un code malveillant pour influencer le comportement du bloc de pr\u00e9diction des branches indirectes. <\/p>\n
Les diff\u00e9rences des m\u00e9thodes Training Solo r\u00e9sident dans le fait que, pour influencer le bloc de pr\u00e9diction des transitions, il est propos\u00e9 de ne pas ex\u00e9cuter de code contr\u00f4l\u00e9 par l'attaquant, mais d'utiliser du code d\u00e9j\u00e0 pr\u00e9sent du c\u00f4t\u00e9 de la zone d'ex\u00e9cution privil\u00e9gi\u00e9e (noyau ou hyperviseur), dont l'attaquant parvient \u00e0 obtenir des fuites. Pour le reste, les m\u00e9thodes ressemblent \u00e0 l'attaque classique Spectre-v2. En outre, les chercheurs ont identifi\u00e9 deux probl\u00e8mes mat\u00e9riels (CVE-2024-28956 et CVE-2025-24495), permettant de contourner compl\u00e8tement l'isolation des zones d'ex\u00e9cution et de r\u00e9aliser des fuites issues des processus d'autres utilisateurs, d'autres syst\u00e8mes invit\u00e9s ou de l'environnement h\u00f4te.
<\/center> <\/p>\n
Trois types d'attaques Training Solo ont \u00e9t\u00e9 propos\u00e9es : <\/p>\n
\n
Distorsion de la logique de pr\u00e9diction des transitions en appelant des s\u00e9quences de commandes (gadgets) d\u00e9j\u00e0 existantes dans le noyau, influen\u00e7ant le contenu du tampon d'historique des transitions. Comme gadgets, il est propos\u00e9 d'utiliser le m\u00e9canisme de restriction d'acc\u00e8s aux appels syst\u00e8me SECCOMP, permettant gr\u00e2ce \u00e0 l'insertion de ses propres filtres BPF d'obtenir un faux saut indirect en mode sp\u00e9culatif (les filtres dans SECCOMP \u00e9tant sp\u00e9cifi\u00e9s par le classique cBPF, activ\u00e9 par d\u00e9faut contrairement \u00e0 l'eBPF). Lors des tests sur les CPU Intel Tiger Lake et Lion Cove, la vitesse de fuite avec cette m\u00e9thode \u00e9tait de 1,7 Ko\/sec.\n
Utilisation des collisions d'IP (Instruction Pointer) dans le bloc de pr\u00e9diction des transitions. L'attaquant peut cr\u00e9er des conditions dans lesquelles l'adresse pour un saut sp\u00e9culatif sera choisie uniquement sur la base de l'adresse de saut d\u00e9j\u00e0 pr\u00e9sente dans le tampon, sans tenir compte de l'historique des transitions. L'id\u00e9e est qu'une op\u00e9ration de saut indirect peut influencer une autre, si une collision se produit lors du stockage des hachages de leurs adresses dans le BTB (Branch Target Buffer).\n
Utilisation de l'influence des transitions directes sur la pr\u00e9diction des transitions indirectes. Ce comportement est caus\u00e9 par deux vuln\u00e9rabilit\u00e9s mat\u00e9rielles : CVE-2024-28956 \u2014 ITS (Indirect Target Selection) et CVE-2025-24495 \u2014 un probl\u00e8me dans les processeurs Intel avec des c\u0153urs Lion Cove. La vitesse de fuite de donn\u00e9es de la m\u00e9moire en utilisant cette m\u00e9thode \u00e9tait de 17 Ko\/s. Dans l'exploit d\u00e9montr\u00e9 pour d\u00e9terminer le hash du mot de passe de l'utilisateur root, enregistr\u00e9 en m\u00e9moire apr\u00e8s l'ex\u00e9cution de la commande \u00ab passwd -s \u00bb, 60 secondes ont \u00e9t\u00e9 n\u00e9cessaires. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n