{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2014 nuove varianti dell'attacco Spectre-v2 che interessano le CPU Intel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un gruppo di ricercatori dell'Universit\u00e0 libera di Amsterdam ha identificato diverse nuove vulnerabilit\u00e0 della classe Spectre-v2, pubblicate con il nome in codice Training Solo, che consentono di aggirare i meccanismi di isolamento della memoria. Nel contesto dei sistemi di virtualizzazione, le vulnerabilit\u00e0 permettono di determinare il contenuto della memoria dell'ambiente host dai sistemi guest, mentre nel contesto dei server consentono di determinare il contenuto della memoria del kernel durante l'esecuzione di un exploit nello spazio utente. Esempi di exploit per compiere attacchi di questo tipo sono stati pubblicati su GitHub. Gli exploit presentati permettono di estrarre dati casuali dalla memoria del kernel a una velocit\u00e0 di 17 KB\/sec, e dalla memoria dell'hypervisor a 8,5 KB\/sec. <\/p>\n
Negli attacchi della classe Spectre-v2, per organizzare una fuga di dati, viene utilizzata la sostituzione di valori nel buffer degli indirizzi di diramazione (Branch Target Buffer) o nel buffer della storia delle diramazioni (Branch History Buffer), utilizzati per prevedere la prossima operazione di diramazione. Attraverso le manipolazioni della storia delle diramazioni, si creano le condizioni per una previsione errata della diramazione durante l'esecuzione speculativa delle istruzioni. L'obiettivo dell'attaccante \u00e8 che durante l'esecuzione di un'operazione spekulativa di diramazione l'indirizzo della diramazione venga prelevato dall'area di memoria desiderata. Dopo l'esecuzione della diramazione speculativa, nella cache del processore rimane l'indirizzo della diramazione letto dalla memoria (sotto forma di indirizzo vengono letti i dati necessari per l'attaccante dalla memoria). Per estrarre informazioni dalla cache pu\u00f2 essere utilizzato uno dei metodi per determinare il contenuto della cache, basato sull'analisi della variazione del tempo di accesso ai dati memorizzati e non memorizzati nella cache. <\/p>\n
I metodi di attacco Training Solo mirano ad aggirare i meccanismi di isolamento delle aree di esecuzione (domain isolation), come IBPB, eIBRS e BHI_NO, utilizzati per bloccare gli attacchi della classe Spectre-v2. Ad esempio, l'istruzione IBPB (Indirect Branch Prediction Barriers) assicura il ripristino dello stato del blocco di previsione dei salti ogni volta che si verifica un cambio di contesto, ovvero durante il passaggio di controllo tra lo spazio utente e il kernel o tra il sistema guest e l'ambiente host. Il ripristino dello stato impedisce l'uso di codice personalizzato per influenzare il comportamento del blocco di previsione dei salti indiretti. <\/p>\n
Le differenze tra i metodi Training Solo stanno nel fatto che, per influenzare il blocco delle previsioni di transizione, si propone di non eseguire codice controllato dall'attaccante, ma di utilizzare codice gi\u00e0 presente sul lato dell'area di esecuzione privilegiata (nucleo o hypervisor), il cui accesso viene ottenuto dall'attaccante. Per il resto, i metodi ricordano un attacco classico Spectre-v2. Inoltre, i ricercatori hanno identificato due problemi hardware (CVE-2024-28956 e CVE-2025-24495) che consentono di superare completamente l'isolamento delle aree di esecuzione e di realizzare perdite di dati dai processi di altri utenti, da altri sistemi guest o dall'ambiente host.
<\/center> <\/p>\n
Sono stati proposti tre tipi di attacchi Training Solo: <\/p>\n
\n
Distorsione della logica delle previsioni di transizione attraverso la chiamata di sequenze di comandi gi\u00e0 esistenti nel nucleo (gadget) che influenzano il contenuto del buffer con la cronologia delle transizioni. Come gadget simili, si propone di utilizzare il meccanismo di limitazione dell'accesso alle chiamate di sistema SECCOMP, che consente, tramite la sostituzione dei propri filtri BPF, di ottenere una falsa transizione indiretta in modalit\u00e0 speculativa (i filtri in SECCOMP sono impostati attraverso il classico cBPF, abilitato per impostazione predefinita a differenza dell'eBPF). Durante i test su CPU Intel Tiger Lake e Lion Cove, la velocit\u00e0 di perdita utilizzando questo metodo era di 1,7 KB\/sec.\n
Utilizzo delle collisioni dell'IP (Instruction Pointer) nel blocco delle previsioni di transizione. L'attaccante pu\u00f2 creare condizioni in cui l'indirizzo per la transizione speculativa viene scelto solo sulla base dell'indirizzo di transizione gi\u00e0 presente nel buffer, senza considerare la cronologia delle transizioni. L'idea \u00e8 che un'operazione di transizione indiretta pu\u00f2 influenzare un'altra se si verifica una collisione nel salvataggio degli hash dei loro indirizzi nel BTB (Branch Target Buffer).\n
L'uso dell'influenza dei salti diretti sulla previsione dei salti indiretti. Tale comportamento \u00e8 causato da due vulnerabilit\u00e0 hardware: CVE-2024-28956 \u2014 ITS (Indirect Target Selection) e CVE-2025-24495 \u2014 un problema nei processori Intel con architettura Lion Cove. La velocit\u00e0 di fuoriuscita dei dati dalla memoria utilizzando questo metodo \u00e8 stata di 17 KB\/sec. Nel dimostrato exploit per determinare l'hash della password dell'utente root, memorizzata nella memoria dopo l'esecuzione del comando \u00abpasswd -s\u00bb, sono stati impiegati 60 secondi. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n