{"id":104644,"date":"2022-07-13T15:36:38","date_gmt":"2022-07-13T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd"},"modified":"2022-07-13T15:36:38","modified_gmt":"2022-07-13T13:36:38","slug":"retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","title":{"rendered":"Retbleed \u2014 un nuovo attacco al meccanismo di esecuzione speculativa delle CPU Intel e AMD","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un gruppo di ricercatori dell'ETH di Zurigo ha identificato una nuova variante di attacco al meccanismo di esecuzione speculativa dei salti indiretti nelle CPU, che consente di estrarre informazioni dalla memoria del kernel o di orchestrare un attacco al sistema host da macchine virtuali. Le vulnerabilit\u00e0 hanno ricevuto il nome in codice Retbleed (CVE-2022-29900, CVE-2022-29901) ed sono simili agli attacchi Spectre-v2. La differenza risiede nell'organizzazione dell'esecuzione speculativa di codice arbitrario durante l'elaborazione dell'istruzione \"ret\" (return), che estrae l'indirizzo per il salto dallo stack, anzich\u00e9 un salto indiretto tramite l'istruzione \"jmp\" caricando l'indirizzo dalla memoria o dal registro CPU. <\/p>\n
Un attaccante pu\u00f2 creare condizioni per una previsione errata del salto e organizzare un salto speculativo mirato su un blocco di codice non previsto dalla logica di esecuzione del programma. Alla fine, il processore determiner\u00e0 che la previsione del branch non \u00e8 stata corretta e annuller\u00e0 l'operazione allo stato originale, ma i dati elaborati durante l'esecuzione speculativa rimarranno nella cache e nei buffer microarchitettonici. Se il blocco eseguito erroneamente accede alla memoria, la sua esecuzione speculativa porter\u00e0 alla reperibilit\u00e0 in cache condivisa dei dati letti dalla memoria. <\/p>\n
Per determinare i dati rimanenti nella cache dopo l'esecuzione speculativa delle operazioni, un attaccante pu\u00f2 utilizzare metodi per identificare i dati residui tramite canali laterali, ad esempio, analizzando le variazioni nel tempo di accesso ai dati in cache e non in cache. Per l'estrazione mirata di informazioni da aree in un altro livello di privilegio (ad esempio, dalla memoria del kernel), vengono utilizzati \"gadgets\" \u2014 sequenze di istruzioni presenti nel kernel che sono utili per la lettura speculativa dei dati dalla memoria a seconda delle condizioni esterne che possono essere influenzate dall'attaccante. <\/p>\n
Per proteggersi dagli attacchi classici della classe Spectre, in cui vengono utilizzate istruzioni di salto condizionale e indiretto, la maggior parte dei sistemi operativi adotta una tecnica chiamata \"retpoline\", che si basa sulla sostituzione delle operazioni di salto indiretto con l'istruzione \"ret\", per la quale nei processori viene utilizzato un blocco separato di previsione dello stato dello stack, senza utilizzare il blocco di previsione dei salti. Quando \u00e8 stato introdotto il retpoline nel 2018, si pensava che manovre simili a Spectre con gli indirizzi non fossero applicabili nella pratica per i salti speculativi tramite l'istruzione \"ret\". <\/p>\n
I ricercatori che hanno sviluppato il metodo di attacco Retbleed hanno dimostrato la possibilit\u00e0 di creare condizioni microarchitetturali per innescare un salto speculativo tramite l'istruzione \"ret\" e hanno pubblicato un kit di strumenti per identificare nel kernel Linux sequenze di istruzioni vulnerabili (gadgets) adatte all'exploit, in cui si manifestano tali condizioni. <\/p>\n
Durante la ricerca \u00e8 stato preparato un exploit di lavoro che consente, sui sistemi con CPU Intel, di estrarre dati arbitrari dalla memoria del kernel ad una velocit\u00e0 di 219 byte al secondo e con un'accuratezza del 98% da un processo non privilegiato nello spazio utente. Su processori AMD, l'efficacia dell'exploit \u00e8 notevolmente superiore: la velocit\u00e0 di fuoriuscita \u00e8 di 3,9 KB al secondo. Come esempio pratico, \u00e8 stato dimostrato come, utilizzando l'exploit proposto, si possa determinare il contenuto del file \/etc\/shadow. Su sistemi con CPU Intel, l'attacco per determinare l'hash della password dell'utente root \u00e8 stato condotto in 28 minuti, mentre su sistemi con CPU AMD \u00e8 stato completato in 6 minuti.
\r\n \r\n
<\/div>\r\n <\/div><\/center> <\/p>\n
La possibilit\u00e0 di eseguire l'attacco \u00e8 stata confermata per le CPU Intel delle generazioni 6-8, prodotte prima del terzo trimestre 2019 (incluso Skylake), e per le CPU AMD basate su microarchitetture Zen 1, Zen 1+ e Zen 2, prodotte prima del secondo trimestre 2021. Nei modelli di processori pi\u00f9 recenti, come AMD Zen3 e Intel Alder Lake, cos\u00ec come nei processori ARM, il problema \u00e8 bloccato dai meccanismi di protezione esistenti. Ad esempio, l'uso delle istruzioni IBRS (Indirect Branch Restricted Speculation) aiuta a difendersi dall'attacco. <\/p>\n
Per il kernel Linux e l'ipervisore Xen \u00e8 stato preparato un set di modifiche, che su processori pi\u00f9 vecchi blocca il problema tramite software. La patch proposta per il kernel Linux modifica 68 file, aggiunge 1783 righe e ne elimina 387. Purtroppo, la protezione comporta costi aggiuntivi significativi: nei test condotti su processori AMD e Intel, la riduzione delle prestazioni \u00e8 stimata tra il 14% e il 39%. \u00c8 preferibile l'uso di una protezione basata su istruzioni IBRS, disponibili nelle nuove generazioni di CPU Intel e supportate a partire dal kernel Linux 4.19. <\/p>\n
Sui processori Intel, la sostituzione dell'indirizzo per il salto indiretto speculativo avviene grazie a una caratteristica che si manifesta in caso di underflow nel buffer di previsione del contenuto dello stack (Return Stack Buffer). Quando si verificano tali condizioni, per l'istruzione \"ret\" inizia ad essere applicata una logica di selezione dell'indirizzo simile a quella usata per i normali salti indiretti. Nel kernel Linux sono stati trovati pi\u00f9 di mille punti che creano condizioni per l'inizio di tale underflow inverso e sono accessibili tramite chiamate di sistema. <\/p>\n
Sui processori AMD, l'esecuzione speculativa dell'istruzione \"ret\" avviene senza legarsi al buffer specifico dello stack (Return Address Stack), e il blocco di previsione dei salti considera l'istruzione \"ret\" non come un ritorno di controllo, ma come un salto indiretto, utilizzando quindi per la previsione i dati per salti indiretti. In tali condizioni, praticamente qualsiasi operazione \"ret\" raggiungibile tramite chiamata di sistema pu\u00f2 essere sfruttata. <\/p>\n
Inoltre, nel CPU AMD \u00e8 emerso un ulteriore problema (CVE-2022-23825, Branch Type Confusion), legato all'esecuzione di transizioni false: le condizioni per la previsione della transizione possono verificarsi anche senza le necessarie istruzioni di ramificazione, permettendo di influenzare il buffer di previsione delle transizioni senza l'istruzione \u00abret\u00bb. Questa caratteristica complica notevolmente l'implementazione della protezione e richiede una pulizia pi\u00f9 attiva del buffer di previsione delle transizioni. Si prevede che l'aggiunta di una protezione completa nel kernel comporter\u00e0 un aumento dei costi operativi del 209%. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Guarda](\"https:\/\/img.youtube.com\/vi\/dmSPvJxPm80\/hqdefault.jpg\")
\r\n