{"id":104644,"date":"2022-07-13T15:36:38","date_gmt":"2022-07-13T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd"},"modified":"2022-07-13T15:36:38","modified_gmt":"2022-07-13T13:36:38","slug":"retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","title":{"rendered":"Retbleed \u2014 un nuovo attacco al meccanismo di esecuzione speculativa delle CPU Intel e AMD","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un gruppo di ricercatori del Politecnico di Zurigo ha identificato una nuova variante di attacco al meccanismo di esecuzione speculativa dei salti indiretti nel CPU, che consente di estrarre informazioni dalla memoria del kernel o di lanciare un attacco sul sistema host da macchine virtuali. Le vulnerabilit\u00e0 sono state ribattezzate Retbleed (CVE-2022-29900, CVE-2022-29901) e sono simili nei principi agli attacchi Spectre-v2. La differenza principale risiede nell'esecuzione speculativa di codice arbitrario durante l'elaborazione dell'istruzione 'ret' (return), che estrae l'indirizzo per il salto dallo stack, invece di un salto indiretto tramite l'istruzione 'jmp' che carica l'indirizzo dalla memoria o dal registro CPU. <\/p>\n
Un attaccante pu\u00f2 creare condizioni per una previsione errata del salto e organizzare un salto speculativo mirato su un blocco di codice non previsto dalla logica di esecuzione del programma. Alla fine, il processore determiner\u00e0 che la previsione del ramo \u00e8 risultata errata e ripristiner\u00e0 l'operazione allo stato iniziale, ma i dati elaborati durante l'esecuzione speculativa rimarranno nella cache e nei buffer microarchitetturali. Se il blocco eseguito erroneamente accede alla memoria, la sua esecuzione speculativa porter\u00e0 all'insediamento nella cache generale e ai dati letti dalla memoria. <\/p>\n
Per determinare i dati rimasti nella cache dopo l'esecuzione speculativa delle operazioni, un attaccante pu\u00f2 utilizzare metodi per identificare dati residui attraverso canali esterni, come analizzare le variazioni nei tempi di accesso ai dati memorizzati nella cache e a quelli non memorizzati. Per un'estrazione mirata di informazioni da aree di un altro livello di privilegi (ad esempio, dalla memoria del kernel), vengono utilizzati dei \u00abgadgets\u00bb \u2014 sequenze di istruzioni presenti nel kernel che possono essere utilizzate per la lettura speculativa dei dati dalla memoria in funzione di condizioni esterne alle quali l'attaccante pu\u00f2 influire. <\/p>\n
Per proteggere da attacchi classici della classe Spectre, che utilizzano istruzioni di salto condizionato e indiretto, la maggior parte dei sistemi operativi impiega la tecnica \"retpoline\", che si basa sulla sostituzione delle operazioni di salto indiretto con l'istruzione \"ret\", per la quale nei processori viene utilizzato un blocco separato di previsione dello stato dello stack, che non utilizza il blocco di previsione dei salti. Quando \u00e8 stata implementata retpoline nel 2018, si pensava che manipolazioni simili a quelle di Spectre fossero impraticabili per il salto speculativo tramite l'istruzione \"ret\". <\/p>\n
I ricercatori che hanno sviluppato il metodo di attacco Retbleed hanno dimostrato la possibilit\u00e0 di creare condizioni microarchitetturali per avviare un salto speculativo tramite l'istruzione \"ret\" e hanno pubblicato un toolkit pronto per l'identificazione nel kernel Linux delle sequenze istruzioni vulnerabili (gadget) che mostrano tali condizioni. <\/p>\n
Durante lo studio \u00e8 stato preparato un exploit funzionante che consente, su sistemi con CPU Intel, di estrarre dati arbitrari dalla memoria del kernel a una velocit\u00e0 di 219 byte al secondo e con una precisione del 98% da un processo non privilegiato nello spazio utente. Su processori AMD, l'efficacia dell'exploit \u00e8 notevolmente superiore: la velocit\u00e0 di fuoriuscita \u00e8 di 3,9 KB al secondo. Come esempio pratico, viene mostrato come utilizzare l'exploit per determinare il contenuto del file \/etc\/shadow. Su sistemi con CPU Intel, l'attacco per determinare l'hash della password dell'utente root \u00e8 stato completato in 28 minuti, mentre su sistemi con CPU AMD in 6 minuti.
\r\n \r\n
<\/div>\r\n <\/div><\/center> <\/p>\n
La possibilit\u00e0 di eseguire l'attacco \u00e8 stata confermata per le generazioni 6-8 di processori Intel, prodotti fino al terzo trimestre del 2019 (incluso Skylake), e per i processori AMD basati sulle microarchitetture Zen 1, Zen 1+ e Zen 2, prodotti fino al secondo trimestre del 2021. Nei modelli pi\u00f9 recenti di processori, come AMD Zen3 e Intel Alder Lake, nonch\u00e9 nei processori ARM, il problema \u00e8 mitigato dai meccanismi di protezione esistenti. Ad esempio, l'uso delle istruzioni IBRS (Indirect Branch Restricted Speculation) aiuta a difendersi dall'attacco. <\/p>\n
Per il kernel Linux e l'hypervisor Xen \u00e8 stato preparato un insieme di modifiche che, su CPU datate, bloccano il problema tramite software. La patch proposta per il kernel Linux modifica 68 file, aggiunge 1783 righe e ne rimuove 387. Purtroppo, la protezione comporta costi notevoli \u2014 nei test condotti su processori AMD e Intel, la riduzione delle prestazioni \u00e8 stimata tra il 14% e il 39%. \u00c8 preferibile utilizzare protezioni basate su istruzioni IBRS, disponibili nelle nuove generazioni di CPU Intel e supportate a partire dal kernel Linux 4.19. <\/p>\n
Sui processori Intel, la sostituzione dell'indirizzo per il salto indiretto speculativo avviene grazie a una caratteristica che si manifesta in caso di underflow nel buffer di previsione del contenuto dello stack (Return Stack Buffer). In tali circostanze, per l'istruzione \u00abret\u00bb inizia ad essere applicata una logica di selezione dell'indirizzo simile a quella usata per i normali salti indiretti. Nel kernel Linux sono stati trovati oltre mille punti che creano condizioni per l'inizio di tale underflow inverso, accessibili tramite chiamate di sistema. <\/p>\n
Nei processori AMD, l'esecuzione speculativa dell'istruzione «ret» avviene senza legame con il buffer specifico dello stack (Return Address Stack) e il blocco di predizione dei salti considera l'istruzione «ret» non come un ritorno di controllo, ma come un salto indiretto, e quindi utilizza per la predizione i dati per i salti indiretti. In tali condizioni, praticamente qualsiasi operazione «ret», raggiungibile tramite una chiamata di sistema, pu\u00f2 essere utilizzata per l'exploitation. <\/p>\n
In aggiunta, nel CPU AMD \u00e8 stata identificata un'altra problematica (CVE-2022-23825, Branch Type Confusion), relativa all'esecuzione di salti fittizi - le condizioni per la predizione del salto possono insorgere anche in assenza delle istruzioni di branching necessarie, permettendo di influenzare il buffer di predizione dei salti senza l'istruzione «ret». Questa caratteristica complica notevolmente l'implementazione delle difese e richiede una pulizia pi\u00f9 attiva del buffer di predizione dei salti. Si prevede che l'aggiunta di una protezione completa nel kernel comporter\u00e0 un aumento dei costi operativi del 209%. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Riproduci](\"https:\/\/img.youtube.com\/vi\/dmSPvJxPm80\/hqdefault.jpg\")
\r\n