{"id":112431,"date":"2023-12-22T21:10:32","date_gmt":"2023-12-22T19:10:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/mayhem-ataka-iskazhayushhaya-bity-v-pamyati-dlya-obhoda-autentifikaczii-v-sudo-i-openssh"},"modified":"2023-12-22T21:10:32","modified_gmt":"2023-12-22T19:10:33","slug":"mayhem-ataka-iskazhayushhaya-bity-v-pamyati-dlya-obhoda-autentifikaczii-v-sudo-i-openssh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/mayhem-ataka-iskazhayushhaya-bity-v-pamyati-dlya-obhoda-autentifikaczii-v-sudo-i-openssh","title":{"rendered":"Mayhem \u2014 un attacco che distorce i bit in memoria per eludere l'autenticazione in sudo e OpenSSH","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I ricercatori del Worcester Polytechnic Institute (USA) hanno presentato un nuovo tipo di attacco chiamato Mayhem, che utilizza la tecnica di disturbo dei bit nella memoria RAM dinamica Rowhammer per modificare i valori delle variabili nello stack, utilizzati nel programma come flag per prendere decisioni sul successo dell'autenticazione e sul superamento dei controlli di sicurezza. Esempi pratici di applicazione dell'attacco sono stati dimostrati per eludere l'autenticazione in SUDO, OpenSSH e MySQL, nonch\u00e9 per alterare i risultati dei controlli di sicurezza nella libreria OpenSSL. <\/p>\n
Un attacco pu\u00f2 essere applicato ad applicazioni in cui si utilizzano confronti rispetto a valori diversi da zero durante le verifiche. Esempio di codice vulnerabile: int auth = 0; ... \/\/ codice di verifica che modifica il valore di auth in caso di autenticazione riuscita if(auth != 0) return AUTH_SUCCESS; else return AUTH_FAILURE; <\/p>\n
In this context, to successfully execute an attack, it is sufficient to distort any bit in the memory corresponding to the 32-bit variable auth on the stack. Distorting any bit in the variable will cause its value to no longer be zero, and the conditional operator will determine a successful authentication. Such validation patterns are quite common in applications and can be found, for example, in SUDO, OpenSSH, MySQL, and OpenSSL.
<\/center> <\/p>\n
L'attacco pu\u00f2 essere applicato anche a confronti del tipo 'if(auth == 1)', ma in questo caso la sua attuazione si complica, poich\u00e9 \u00e8 necessario alterare non un qualsiasi bit dei 32, ma l'ultimo bit. Il metodo pu\u00f2 essere utilizzato anche per influenzare i valori delle variabili nei registri del processore, dato che il contenuto dei registri pu\u00f2 essere temporaneamente trasferito nello stack durante il cambio di contesto, la chiamata di funzioni o l'attivazione di un gestore di segnali. Nel lasso di tempo in cui i valori dei registri si trovano in memoria, \u00e8 possibile introdurre distorsioni in questa memoria e nel registro verr\u00e0 ripristinato il valore modificato.
<\/center> <\/p>\n
Per distorcere i bit viene utilizzata una delle varianti dell'attacco di tipo RowHammer. Poich\u00e9 la memoria DRAM \u00e8 costituita da un array bidimensionale di celle, ognuna delle quali \u00e8 composta da un condensatore e un transistore, eseguire una lettura continua della stessa area di memoria provoca fluttuazioni di tensione e anomalie che possono comportare una piccola perdita di carica nelle celle adiacenti. Se l'intensit\u00e0 della lettura \u00e8 elevata, la cella vicina pu\u00f2 perdere una quantit\u00e0 significativa di carica, e il ciclo di rigenerazione successivo non riuscir\u00e0 a ripristinare il suo stato originale, portando a una modifica del valore dei dati memorizzati nella cella. Per proteggere dalla RowHammer, i produttori di chip hanno implementato il meccanismo TRR (Target Row Refresh), che blocca la distorsione delle celle in casi specifici, ma non offre protezione contro tutte le possibili varianti dell'attacco. <\/p>\n
Per proteggersi dall'attacco Mayhem, si consiglia di non utilizzare nel confronto valutazioni rispetto a zero o uguaglianze con uno, ma di controllare le corrispondenze utilizzando un valore di salting casuale con ottetti non nulli. In questo modo, per assegnare il valore desiderato alla variabile, \u00e8 necessario distorcere esattamente un certo numero di bit, il che risulta irrealistico, a differenza della distorsione di un singolo bit. Esempio di codice non vulnerabile all'attacco: int auth = 0xbe406d1a; ... \/\/ codice di verifica che imposta il valore di auth a 0x23ab8701 in caso di autenticazione riuscita if(auth == 0x23ab8701) return AUTH_SUCCESS; else return AUTH_FAILURE; <\/p>\n
![\"Mayhem](\"\/wp-content\/uploads\/2023\/12\/ef5dd9463837514f055f9f2610652fb9.png\")
<\/center> <\/p>\n![\"Mayhem](\"\/wp-content\/uploads\/2023\/12\/089c4ea98448b638ba630e55821fc32f.png\")
<\/center> <\/p>\n