I ricercatori dell'Università della California a San Diego hanno presentato un nuovo metodo di attacco alle microarchitetture dei processori Intel, applicabile anche alle CPU basate sulle microarchitetture Raptor Lake e Alder Lake. L'attacco, soprannominato Indirector, consente di modificare il flusso delle esecuzioni speculative delle istruzioni in altri processi e a livelli di privilegio diversi (ad esempio, nel kernel o in un'altra macchina virtuale), eseguiti all'interno di un singolo thread della CPU con codice dell'attaccante. Come dimostrazione del metodo, è stato sviluppato un prototipo di exploit che permette di determinare la disposizione degli indirizzi di memoria per aggirare il meccanismo di protezione ASLR (Address Space Layout Randomization). Inoltre, è stato pubblicato con licenza MIT un toolkit progettato per analizzare e fare reverse engineering della logica microarchitettonica della CPU.
Sono stati proposti due metodi per organizzare l'attacco. Il primo metodo si basa sulla distorsione del contenuto del buffer di previsione dei salti indiretti IBP (Indirect Branch Predictor), utilizzato per prevedere i salti indiretti in situazioni in cui l'indirizzo o l'offset per il salto non sono ancora noti e vengono calcolati nelle istruzioni precedenti all'istruzione di salto. Il secondo metodo riguarda il buffer di previsione dei salti BTB (Branch Target Buffer), che contiene informazioni sui salti recenti.
Le vulnerabilità identificate consentono a un attaccante di determinare il contenuto delle registrazioni nei buffer IBP e BTB, che contengono indirizzi di salto utilizzati in processi esterni, e di effettuare la sostituzione di un indirizzo di salto arbitrario nelle tabelle dei dati dei buffer. Di conseguenza, l'attaccante può riuscire a reindirizzare il flusso di esecuzione di un processo esterno all'indirizzo desiderato in memoria durante l'esecuzione speculativa delle istruzioni. Dopo aver determinato la previsione errata, il risultato dell'esecuzione speculativa verrà scartato, ma gli indirizzi e i dati letti dalla memoria durante l'esecuzione speculativa delle istruzioni rimarranno nella cache e potranno essere estratti utilizzando uno dei metodi per determinare il contenuto della cache basato sull'analisi della variazione del tempo di accesso ai dati in cache e non in cache. La determinazione degli indirizzi esatti dei salti indiretti può essere utilizzata, ad esempio, per bypassare il meccanismo di protezione ASLR.
Fonte: opennet.ru
