TONTOU היא מתקפה על מעבדי אינטל ו-AMD המאפשרת עקיפת הגנה מפני פגיעויות ב-Spectre v2.

חוקרים מהמכון הטכנולוגי של מסצ'וסטס זיהו את טכניקת התקיפה TONTOU (Time-of-Neutralization to Time-of-Use), המציעה דרך חדשה לניצול פגיעויות מיקרו-ארכיטקטוניות בסוג Spectre v2. הפגיעות מאפשרת לקבוע את תוכן זיכרון הליבה בעת ביצוע ניצול במרחב המשתמש. קוד לחסימת ניצול הפגיעות שולב בליבת המערכות. Linux 5 באוגוסט וכלול בגרסאות 7.1.7, 6.18.43, 6.12.102, 6.6.149, 6.1.181, 5.15.214 ו-5.10.263.

חוקרים הדגימו את היתכנותה של מתקפת משתמש מקומית ולא-פריבילגית כדי לקבוע את קוד ה-hash של סיסמת משתמש הבסיס המאוחסן בקובץ /etc/shadow ונטען לזיכרון במהלך אימות המערכת. החוקרים הצליחו לדלוף נתונים מזיכרון הליבה בקצב תפוקה של 5.47 בתים לשנייה ובדיוק של 91.97%. מתוך 10 ריצות בדיקה של הניצול, שנמשכו בממוצע 18 דקות, במחצית מהזמן הם זיהו בהצלחה את נוכחות קובץ /etc/shadow בזיכרון וחילצו את תוכנו.

הניצול הודגם במערכות עם מעבדי AMD וניתן להשתמש בו במעבדי AMD ממשפחת Zen 1-4. ההתקפה אפשרית גם במערכות אינטל, אך הניצול מורכב יותר. כדי להגן מפני גלישות מחסנית החזרה ולחסום את הפגיעות SRSO (Speculative Return Stack Overflow), מעבדי AMD משתמשים במנגנון ההגנה Safe-RET, אשר מנקה את מאגר חיזוי הענפים לאחר כל שימוש ומצמצם את חלון ההתקפה לשתי הוראות המבוצעות תוך כמה עשרות ננו-שניות.

כדי לעקוף הגנה זו ולהרחיב את חלון ההתקפה, יושמה טכניקת האטה של ​​המעבד, המאפשרת החלפת פסיקות ברגע הנכון כדי לנתב מחדש את זרימת הביצוע בתוך הליבה ולהשתמש בטיפול פסיקות כדי לפגוע בערכים במאגר חיזוי הענף. כדי לנצל את פגיעות SRSO, תוקף יכול ליצור תנאים שבהם יחידת חיזוי הענף מבצעת באופן ספקולטיבי מספר רב של קריאות CALL שחוזו בצורה שגויה, מספיק כדי להציף את מחסנית כתובות ההחזרה ולהחליף נקודות החזרה שחוזו בצורה נכונה הממוקמות בתחילת המחסנית. כתוצאה מכך, אלמנטי המחסנית הראשוניים עלולים להידרס בערכים שנבחרו על ידי התוקף, מה שמוביל לאחר מכן לשימוש בערכים שהוחלפו במהלך ביצוע ספקולטיבי של פקודת RET בהקשר של תהליך אחר.

המעבד יקבע כי ניבוי הענף היה שגוי ויבטל את הפעולה, אך הנתונים שעובדו במהלך הביצוע הספקולטיבי יישארו במאגר המטמון ובמאגרי המיקרו-ארכיטקטורה. אם הבלוק שבוצע בטעות ניגש לזיכרון, הביצוע הספקולטיבי שלו יגרום גם לכך שהנתונים שנקראו מהזיכרון יישארו במטמון המשותף. כדי לאחזר מידע מהמטמון, ניתן להשתמש בשיטה לקביעת תוכן המטמון המבוססת על ניתוח שינויים בזמני גישה עבור נתונים המאוחסנים במטמון ולא במטמון.

מקור: OpenNet.ru