{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2014 nuove varianti dell'attacco Spectre-v2, che colpiscono le CPU Intel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un gruppo di ricercatori dell'Universit\u00e0 libera di Amsterdam ha identificato diverse nuove vulnerabilit\u00e0 della classe Spectre-v2, pubblicate con il nome in codice Training Solo, che consentono di eludere i meccanismi di isolamento della memoria. Nel contesto dei sistemi di virtualizzazione, queste vulnerabilit\u00e0 permettono di determinare il contenuto della memoria dell'ambiente host dalle macchine guest, mentre nel contesto dei server consentono di accedere al contenuto della memoria del kernel eseguendo un exploit nello spazio utente. Esempi di exploit per tali attacchi sono stati pubblicati su GitHub. Gli exploit presentati consentono di estrarre dati arbitrari dalla memoria del kernel a una velocit\u00e0 di 17 KB\/sec e dalla memoria dell'iperazione a 8.5 KB\/sec. <\/p>\n
Negli attacchi di tipo Spectre-v2, per organizzare la fuoriuscita di dati si utilizza la sostituzione di valori nel buffer degli indirizzi di diramazione (Branch Target Buffer) o nel buffer della storia delle diramazioni (Branch History Buffer), utilizzati per prevedere la prossima operazione di diramazione. Attraverso manipolazioni della storia delle diramazioni, si creano le condizioni per una previsione errata della diramazione durante l'esecuzione speculativa delle istruzioni. L'obiettivo dell'attaccante \u00e8 che, durante l'esecuzione di un'operazione speculativa di diramazione, l'indirizzo per la diramazione venga preso dall'area di memoria desiderata. Dopo l'esecuzione della diramazione speculativa, nella cache del processore rimane l'indirizzo letto dalla memoria (sotto forma di indirizzo vengono letti i dati necessari all'attaccante dalla memoria). Per estrarre informazioni dalla cache si pu\u00f2 utilizzare uno dei metodi di determinazione del contenuto della cache basato sull'analisi della variazione del tempo di accesso ai dati memorizzati e non memorizzati nella cache. <\/p>\n
I metodi di attacco Training Solo mirano a eludere i meccanismi di isolamento delle aree di esecuzione (domain isolation), come IBPB, eIBRS e BHI_NO, utilizzati per bloccare attacchi della classe Spectre-v2. Ad esempio, l'istruzione IBPB (Indirect Branch Prediction Barriers) assicura il reset dello stato del blocco di previsione dei salti ad ogni cambio di contesto \u2014 durante il passaggio di controllo tra lo spazio utente e il kernel o tra un sistema guest e l'ambiente host. Il reset dello stato blocca la possibilit\u00e0 di utilizzare codice personalizzato per influenzare il comportamento del blocco di previsione dei salti indiretti. <\/p>\n
Le differenze nei metodi Training Solo consistono nel fatto che per influenzare il blocco di previsione delle diramazioni non viene suggerito di avviare codice controllato dall'attaccante, ma di utilizzare codice gi\u00e0 presente nell'area di esecuzione privilegiata (kernel o ipervisore) da cui l'attaccante cerca di ottenere fughe di dati. Per il resto, i metodi ricordano l'attacco classico di tipo Spectre-v2. Inoltre, i ricercatori hanno identificato due problemi hardware (CVE-2024-28956 e CVE-2025-24495) che permettono di eludere completamente l'isolamento delle aree di esecuzione e realizzare fughe da processi di altri utenti, altre macchine virtuali o dall'ambiente host.
<\/center> <\/p>\n
Sono stati proposti tre tipi di attacchi Training Solo: <\/p>\n
\n
Distorsione della logica di previsione delle diramazioni attraverso il richiamo di sequenze di comandi gi\u00e0 esistenti nel kernel (gadgets) che influenzano il contenuto del buffer della storia delle diramazioni. Tra i gadgets proposti c'\u00e8 il meccanismo di limitazione dell'accesso alle chiamate di sistema SECCOMP, che permette, tramite la sostituzione dei propri filtri BPF, di ottenere una falsa diramazione indiretta in modalit\u00e0 speculativa (i filtri in SECCOMP sono impostati utilizzando il classico cBPF, abilitato per impostazione predefinita a differenza dell'eBPF). Durante i test su CPU Intel Tiger Lake e Lion Cove, la velocit\u00e0 di fuga usando questo metodo \u00e8 stata di 1.7KB\/sec.\n
Utilizzo delle collisioni dell'Instruction Pointer (IP) nel blocco di previsione delle diramazioni. L'attaccante pu\u00f2 creare condizioni in cui l'indirizzo per una diramazione speculativa venga scelto solo sulla base dell'indirizzo gi\u00e0 presente nel buffer, senza considerare la storia delle diramazioni. L'idea \u00e8 che un'operazione di diramazione indiretta pu\u00f2 influenzare un'altra se si verifica una collisione durante la memorizzazione degli hash dei loro indirizzi nel BTB (Branch Target Buffer).\n
Utilizzo dell'impatto dei salti diretti sulla previsione dei salti indiretti. Tale comportamento \u00e8 causato da due vulnerabilit\u00e0 hardware: CVE-2024-28956 \u2014 ITS (Indirect Target Selection) e CVE-2025-24495 \u2014 un problema nei processori Intel con architettura Lion Cove. La velocit\u00e0 di perdita di dati dalla memoria utilizzando questo metodo \u00e8 stata di 17 KB\/sec. Nell'exploit dimostrato per determinare l'hash della password dell'utente root, memorizzata in memoria dopo l'esecuzione del comando \u00abpasswd -s\u00bb, sono stati impiegati 60 secondi. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n