eBPF में कमजोरियाँ जो स्पेक्टर 4 हमले की सुरक्षा को बायपास करने की अनुमति देती हैं

लिनक्स कर्नेल में दो कमजोरियों की पहचान की गई है जो स्पेक्टर v4 हमले (एसएसबी, सट्टा स्टोर बाईपास) के खिलाफ सुरक्षा को बायपास करने के लिए ईबीपीएफ सबसिस्टम का उपयोग करने की अनुमति देती है। एक विशेषाधिकार प्राप्त बीपीएफ प्रोग्राम का उपयोग करके, एक हमलावर कुछ परिचालनों के सट्टा निष्पादन के लिए स्थितियां बना सकता है और कर्नेल मेमोरी के मनमाने क्षेत्रों की सामग्री निर्धारित कर सकता है। कर्नेल में ईबीपीएफ सबसिस्टम अनुरक्षकों को एक प्रोटोटाइप शोषण तक पहुंच प्राप्त हुई जो व्यवहार में हमलों को अंजाम देने की क्षमता को प्रदर्शित करता है। समस्याओं को पैच (1, 2) के रूप में ठीक कर दिया गया है, जिसे अगले लिनक्स कर्नेल अपडेट में शामिल किया जाएगा। वितरण किटों में अपडेट अभी तक नहीं बनाया गया है (डेबियन, आरएचईएल, एसयूएसई, आर्क, फेडोरा, उबंटू)।

स्पेक्टर 4 हमले की विधि अप्रत्यक्ष पते का उपयोग करके वैकल्पिक लेखन और पढ़ने के संचालन को संसाधित करते समय संचालन के सट्टा निष्पादन के परिणाम को त्यागने के बाद प्रोसेसर कैश में संग्रहीत डेटा को पुनर्स्थापित करने पर आधारित है। जब एक रीड ऑपरेशन एक राइट ऑपरेशन का अनुसरण करता है (उदाहरण के लिए, mov [rbx + rcx], 0x0; mov rax, [rdx + rsi]), तो रीड एड्रेस का ऑफसेट पहले से ही किए जा रहे समान ऑपरेशनों के कारण ज्ञात हो सकता है (रीड ऑपरेशन हैं) बहुत अधिक बार निष्पादित किया जाता है और रीड को कैश से किया जा सकता है) और प्रोसेसर लिखने के अप्रत्यक्ष ऑफसेट की गणना की प्रतीक्षा किए बिना लिखने से पहले रीड को अनुमानित रूप से निष्पादित कर सकता है।

यदि, ऑफसेट की गणना करने के बाद, लिखने और पढ़ने के लिए मेमोरी क्षेत्रों के एक प्रतिच्छेदन का पता लगाया जाता है, तो प्रोसेसर पहले से ही अनुमानित रूप से प्राप्त रीड परिणाम को त्याग देगा और इस ऑपरेशन को दोहराएगा। यह सुविधा पढ़ने के निर्देश को किसी पते पर पुराने मान तक पहुंचने की अनुमति देती है, जबकि स्टोर ऑपरेशन अभी तक पूरा नहीं हुआ है। एक असफल सट्टा ऑपरेशन को त्यागने के बाद, इसके निष्पादन के निशान कैश में रहते हैं, जिसके बाद कैश की सामग्री को निर्धारित करने के तरीकों में से एक का उपयोग कैश्ड और अनकैश्ड डेटा तक पहुंच समय में परिवर्तन के विश्लेषण के आधार पर इसे पुनः प्राप्त करने के लिए किया जा सकता है।

पहली भेद्यता (सीवीई-2021-35477) बीपीएफ कार्यक्रम सत्यापन तंत्र में एक दोष के कारण होती है। स्पेक्टर 4 हमले से बचाने के लिए, सत्यापनकर्ता संभावित रूप से समस्याग्रस्त स्टोर के बाद मेमोरी में एक अतिरिक्त निर्देश जोड़ता है जो पिछले ऑपरेशन के निशान को विस्थापित करने के लिए एक शून्य मान संग्रहीत करता है। राइट नल ऑपरेशन के बहुत तेज़ होने और सट्टा निष्पादन को अवरुद्ध करने की उम्मीद की गई थी क्योंकि यह केवल बीपीएफ स्टैक फ्रेम के पॉइंटर पर निर्भर करता है। लेकिन वास्तव में, ऐसी स्थितियाँ बनाना संभव हो गया जिसके तहत सट्टा निष्पादन के लिए एक निर्देश प्रीमेप्टिव स्टोर ऑपरेशन से पहले निष्पादित किया जा सकता है।

दूसरी भेद्यता (सीवीई-2021-3455) इस तथ्य के कारण है कि जब बीपीएफ सत्यापनकर्ता संभावित खतरनाक मेमोरी सेव ऑपरेशन की पहचान करता है, तो यह बीपीएफ स्टैक के अप्रारंभीकृत क्षेत्रों को ध्यान में नहीं रखता है, पहला लेखन ऑपरेशन सुरक्षित नहीं है। यह सुविधा स्टोर निर्देश को निष्पादित करने से पहले, एक अप्रारंभीकृत मेमोरी क्षेत्र पर निर्भर, एक सट्टा पढ़ने के ऑपरेशन को निष्पादित करने की संभावना की ओर ले जाती है। बीपीएफ स्टैक के लिए नई मेमोरी आवंटित मेमोरी में पहले से मौजूद सामग्री की जांच किए बिना आवंटित की जाती है, और बीपीएफ प्रोग्राम चलने से पहले मेमोरी क्षेत्र की सामग्री में हेरफेर करने का एक तरीका है जिसे बाद में बीपीएफ स्टैक के लिए आवंटित किया जाएगा।

स्रोत: opennet.ru