रिटब्लीड इंटेल और एएमडी सीपीयू के सट्टा निष्पादन तंत्र पर एक नया हमला है

ईटीएच ज्यूरिख के शोधकर्ताओं के एक समूह ने सीपीयू में अप्रत्यक्ष संक्रमणों के सट्टा निष्पादन के तंत्र पर एक नए हमले की पहचान की है, जो कर्नेल मेमोरी से जानकारी निकालना या वर्चुअल मशीनों से होस्ट सिस्टम पर हमले का आयोजन करना संभव बनाता है। कमजोरियों को कोडनेम रिटब्लीड (CVE-2022-29900, CVE-2022-29901) दिया गया है और ये स्पेक्टर-v2 हमलों की प्रकृति के करीब हैं। अंतर "रिट" (रिटर्न) निर्देश को संसाधित करते समय मनमाने कोड के सट्टा निष्पादन के संगठन में आता है, जो "जेएमपी" निर्देश का उपयोग करके अप्रत्यक्ष कूद के बजाय, स्टैक से कूदने के लिए पता प्राप्त करता है, पते को लोड करता है मेमोरी या सीपीयू रजिस्टर।

एक हमलावर गलत संक्रमण भविष्यवाणी के लिए स्थितियाँ बना सकता है और कोड के एक ब्लॉक में एक लक्षित, सट्टा संक्रमण का आयोजन कर सकता है जो प्रोग्राम निष्पादन तर्क द्वारा प्रदान नहीं किया गया है। अंततः, प्रोसेसर यह निर्धारित करेगा कि शाखा की भविष्यवाणी उचित नहीं थी और ऑपरेशन को उसकी मूल स्थिति में वापस ले आएगा, लेकिन सट्टा निष्पादन के दौरान संसाधित डेटा कैश और माइक्रोआर्किटेक्चरल बफ़र्स में समाप्त हो जाएगा। यदि कोई गलती से निष्पादित ब्लॉक मेमोरी तक पहुंचता है, तो इसके सट्टा निष्पादन से मेमोरी से पढ़ा गया डेटा साझा कैश में जमा हो जाएगा।

सट्टा संचालन के बाद कैश में शेष डेटा को निर्धारित करने के लिए, एक हमलावर अवशिष्ट डेटा को निर्धारित करने के लिए साइड-चैनल तकनीकों का उपयोग कर सकता है, जैसे कैश्ड और अनकैश्ड डेटा तक पहुंच समय में परिवर्तन का विश्लेषण करना। किसी अन्य विशेषाधिकार स्तर (उदाहरण के लिए, कर्नेल मेमोरी से) के क्षेत्रों से जानबूझकर जानकारी निकालने के लिए, "गैजेट्स" का उपयोग किया जाता है - कर्नेल में मौजूद कमांड के अनुक्रम जो बाहरी स्थितियों के आधार पर मेमोरी से डेटा को अनुमानित रूप से पढ़ने के लिए उपयुक्त होते हैं जो इससे प्रभावित हो सकते हैं हमलावर.

सशर्त और अप्रत्यक्ष जंप निर्देशों का उपयोग करने वाले क्लासिक स्पेक्टर वर्ग के हमलों से बचाने के लिए, अधिकांश ऑपरेटिंग सिस्टम "रेटपोलिन" तकनीक का उपयोग करते हैं, जो अप्रत्यक्ष जंप संचालन को "रेट" निर्देश के साथ बदलने पर आधारित है, जिसके लिए प्रोसेसर एक अलग स्टैक स्टेट भविष्यवाणी इकाई का उपयोग करते हैं। शाखा पूर्वानुमान ब्लॉक का उपयोग नहीं करना। जब रेटपोलिन को 2018 में पेश किया गया था, तो यह माना गया था कि "रिट" निर्देश का उपयोग करके सट्टा शाखा के लिए स्पेक्टर-जैसे पते में हेरफेर व्यावहारिक नहीं था।

रिटब्लीड हमले की विधि विकसित करने वाले शोधकर्ताओं ने "रेट" निर्देश का उपयोग करके एक सट्टा संक्रमण शुरू करने के लिए माइक्रोआर्किटेक्चरल स्थितियां बनाने की संभावना का प्रदर्शन किया और लिनक्स कर्नेल में भेद्यता का फायदा उठाने के लिए उपयुक्त निर्देशों (गैजेट्स) के अनुक्रमों की पहचान करने के लिए तैयार टूल प्रकाशित किए। जिसमें ऐसी स्थितियाँ स्वयं प्रकट होती हैं।

अनुसंधान के दौरान, एक कामकाजी शोषण तैयार किया गया था जो इंटेल सीपीयू वाले सिस्टम पर, उपयोगकर्ता स्थान में एक अप्रकाशित प्रक्रिया से कर्नेल मेमोरी से 219 बाइट्स प्रति सेकंड की गति और 98% सटीकता से मनमाना डेटा निकालने की अनुमति देता है। एएमडी प्रोसेसर पर, शोषण की दक्षता बहुत अधिक है - रिसाव दर 3.9 KB प्रति सेकंड है। एक व्यावहारिक उदाहरण के रूप में, हम दिखाते हैं कि /etc/shadow फ़ाइल की सामग्री निर्धारित करने के लिए प्रस्तावित शोषण का उपयोग कैसे करें। इंटेल सीपीयू वाले सिस्टम पर, रूट यूजर पासवर्ड हैश निर्धारित करने का हमला 28 मिनट में किया गया था, और एएमडी सीपीयू वाले सिस्टम पर - 6 मिनट में।

हमले की पुष्टि Q6 8 (स्काइलेक सहित) से पहले जारी किए गए इंटेल प्रोसेसर की 3-2019 पीढ़ी के लिए की गई है, और ज़ेन 1, ज़ेन 1+ और ज़ेन 2 माइक्रोआर्किटेक्चर पर आधारित एएमडी प्रोसेसर जो कि Q2021 3 से पहले जारी किए गए थे। नए प्रोसेसर मॉडल जैसे कि AMD ZenXNUMX और Intel Alder Lake, साथ ही ARM प्रोसेसर में, समस्या को मौजूदा सुरक्षा तंत्र द्वारा अवरुद्ध कर दिया गया है। उदाहरण के लिए, IBRS (अप्रत्यक्ष शाखा प्रतिबंधित अटकलें) निर्देशों का उपयोग हमलों से बचाने में मदद करता है।

लिनक्स कर्नेल और ज़ेन हाइपरवाइज़र के लिए परिवर्तनों का एक सेट तैयार किया गया है, जो पुराने सीपीयू पर सॉफ़्टवेयर में समस्या को रोक देगा। लिनक्स कर्नेल के लिए प्रस्तावित पैच 68 फ़ाइलों को बदलता है, 1783 लाइनें जोड़ता है, और 387 लाइनें हटाता है। दुर्भाग्य से, सुरक्षा के कारण महत्वपूर्ण ओवरहेड लागत आती है - एएमडी और इंटेल प्रोसेसर पर किए गए टेक्स्ट में, प्रदर्शन में 14% से 39% तक की कमी का अनुमान लगाया गया है। आईबीआरएस निर्देशों के आधार पर सुरक्षा का उपयोग करना अधिक बेहतर है, जो इंटेल सीपीयू की नई पीढ़ियों में उपलब्ध है और लिनक्स कर्नेल 4.19 से शुरू होकर समर्थित है।

इंटेल प्रोसेसर पर, एक सट्टा अप्रत्यक्ष छलांग के लिए पता प्रतिस्थापन एक ऐसी सुविधा के कारण किया जाता है जो तब प्रकट होता है जब रिटर्न स्टैक बफर में निचली सीमा (अंडरफ्लो) के माध्यम से एक अतिप्रवाह होता है। जब ऐसी स्थितियां होती हैं, तो "रिट" निर्देश सामान्य अप्रत्यक्ष छलांग के लिए उपयोग किए जाने वाले पते के चयन तर्क को लागू करना शुरू कर देता है। लिनक्स कर्नेल में एक हजार से अधिक स्थान पाए गए हैं जो इस तरह के बैकफ्लो को शुरू करने के लिए स्थितियां बनाते हैं और सिस्टम कॉल के माध्यम से पहुंच योग्य होते हैं।

एएमडी प्रोसेसर पर, "रिट" निर्देश का सट्टा निष्पादन स्टैक-विशिष्ट बफर (रिटर्न एड्रेस स्टैक) के संदर्भ के बिना किया जाता है और शाखा भविष्यवाणी इकाई "रिट" निर्देश को नियंत्रण रिटर्न के रूप में नहीं, बल्कि एक अप्रत्यक्ष शाखा के रूप में मानती है। , और, तदनुसार, अप्रत्यक्ष संक्रमणों की भविष्यवाणी के लिए डेटा का उपयोग करता है। इन शर्तों के तहत, सिस्टम कॉल के माध्यम से पहुंच योग्य किसी भी "रिट" ऑपरेशन का फायदा उठाया जा सकता है।

इसके अतिरिक्त, काल्पनिक शाखाओं के कार्यान्वयन से संबंधित एएमडी सीपीयू (सीवीई-2022-23825, शाखा प्रकार भ्रम) में एक और समस्या की भी पहचान की गई है - शाखा भविष्यवाणी की स्थितियां आवश्यक शाखा निर्देशों के बिना भी हो सकती हैं, जो शाखा भविष्यवाणी बफर को प्रभावित करने की अनुमति देती है अनुदेश के बिना " ret"। यह सुविधा सुरक्षा के कार्यान्वयन को महत्वपूर्ण रूप से जटिल बनाती है और शाखा पूर्वानुमान बफर की अधिक सक्रिय सफाई की आवश्यकता होती है। कर्नेल में पूर्ण सुरक्षा जोड़ने से ओवरहेड में 209% की वृद्धि होने की उम्मीद है।

स्रोत: opennet.ru