גוגל הדגימה ניצול של פגיעויות Spectre באמצעות ביצוע JavaScript בדפדפן

גוגל פרסמה מספר אבות טיפוס של ניצול המראים את האפשרות לנצל פגיעויות במחלקת Spectre בעת ביצוע קוד JavaScript בדפדפן, תוך עקיפת שיטות הגנה שנוספו בעבר. ניתן להשתמש בניצול כדי לקבל גישה לזיכרון של תהליך עיבוד תוכן אינטרנט בכרטיסייה הנוכחית. כדי לבדוק את פעולת הניצול, הושק האתר leaky.page, והקוד המתאר את ההיגיון של העבודה פורסם ב-GitHub.

אב הטיפוס המוצע נועד לתקוף מערכות עם מעבדי Intel Core i7-6500U בסביבה עם לינוקס וכרום 88. כדי להשתמש ב-exploit עבור סביבות אחרות, נדרשים שינויים. שיטת הניצול אינה ספציפית למעבדי אינטל - לאחר התאמה מתאימה, אושר כי הניצול עובד על מערכות עם מעבדים מיצרנים אחרים, כולל ה-Apple M1 המבוסס על ארכיטקטורת ARM. לאחר התאמות קלות, הניצול ניתן לעבודה גם במערכות הפעלה אחרות ובדפדפנים אחרים המבוססים על מנוע Chromium.

בסביבה המבוססת על מעבדי Chrome 88 ו-Intel Skylake סטנדרטיים, ניתן היה להדליף נתונים מהתהליך האחראי על עיבוד תוכן האינטרנט בלשונית Chrome הנוכחית (תהליך renderer) במהירות של 1 קילובייט לשנייה. בנוסף, פותחו אבות טיפוס חלופיים, למשל, ניצול המאפשר, במחיר של הפחתת היציבות, להגדיל את קצב הדליפה ל-8kB/s בעת שימוש בטיימר performance.now() עם דיוק של 5 מיקרו-שניות (0.005 אלפיות שניות) ). כמו כן הוכנה גרסה שעבדה עם דיוק טיימר של אלפית שנייה אחת, באמצעותה ניתן היה לארגן גישה לזיכרון של תהליך אחר במהירות של כ-60 בתים לשנייה.

קוד ההדגמה שפורסם מורכב משלושה חלקים. החלק הראשון מכייל את הטיימר כדי להעריך את זמן הביצוע של הפעולות הנדרשות לשחזור נתונים שנותרו במטמון המעבד כתוצאה מביצוע ספקולטיבי של הוראות CPU. החלק השני קובע את פריסת הזיכרון המשמשת בעת הקצאת מערך ה-JavaScript.

החלק השלישי מנצל ישירות את הפגיעות Spectre כדי לקבוע את תוכן הזיכרון של התהליך הנוכחי כתוצאה מיצירת תנאים לביצוע ספקולטיבי של פעולות מסוימות, שתוצאתן נמחקת על ידי המעבד לאחר קביעת חיזוי לא מוצלח, אך עקבות של הביצוע מופקדים במטמון הכללי וניתן לשחזר אותם באמצעות שיטות לקביעת תוכן המטמון על ידי ערוצי צד שלישי המנתחים שינויים בזמן הגישה לנתונים מאוחסנים ולא מאוחסנים במטמון.

טכניקת הניצול המוצעת מאפשרת להסתדר ללא טיימרים בעלי דיוק גבוה הזמינים דרך ה-API של performance.now() וללא תמיכה בסוג SharedArrayBuffer, המאפשר יצירת מערכים בזיכרון משותף. הניצול כולל את הגאדג'ט Spectre, שגורם לביצוע ספקולטיבי מבוקר של קוד, ומנתח דליפות של ערוץ צדדי, שמזהה נתונים מאוחסנים המתקבלים במהלך ביצוע ספקולטיבי.

הגאדג'ט מיושם באמצעות מערך JavaScript שבו נעשה ניסיון לגשת לאזור מחוץ לגבולות המאגר, מה שמשפיע על מצב בלוק חיזוי הענף עקב נוכחות בדיקת גודל מאגר שנוספה על ידי המהדר (המעבד מבצע באופן ספקולטיבי את גישה מבעוד מועד, אך מבטל את המצב לאחר בדיקה). כדי לנתח את תוכן המטמון בתנאים של דיוק טיימר לא מספיק, מוצעת שיטה שמטעה את אסטרטגיית Tree-PLRU של פינוי נתונים בשימוש במעבדים ומאפשרת, על ידי הגדלת מספר המחזורים, להגדיל משמעותית את הפרש הזמן בעת ​​החזרה ערך מהמטמון וכאשר אין ערך במטמון.

יצוין כי גוגל פרסמה אב טיפוס של הניצול על מנת להראות את היתכנותן של התקפות באמצעות פרצות מחלקות Spectre ולעודד מפתחי אינטרנט להשתמש בטכניקות הממזערות את הסיכונים מהתקפות כאלה. יחד עם זאת, גוגל מאמינה שללא עיבוד משמעותי של אב הטיפוס המוצע, אי אפשר ליצור ניצולים אוניברסליים שמוכנים לא רק להדגמה, אלא גם לשימוש נרחב.

כדי להפחית את הסיכון, בעלי אתרים מעודדים להשתמש בכותרות שיושמו לאחרונה Cross-Origin Opener Policy (COOP), Cross-Origin Embedder Policy (COEP), Cross-Origin Resource Policy (CORP), Fetch Metadata Request, X-Frame- אפשרויות, X -Content-Type-Options ו- SameSite Cookie. מנגנונים אלו אינם מגנים ישירות מפני התקפות, אך הם מאפשרים לבודד נתוני אתר מדליפה לתהליכים בהם ניתן לבצע את קוד ה-JavaScript של התוקף (הדליפה מתרחשת מהזיכרון של התהליך הנוכחי, אשר בנוסף לקוד של התוקף , יכול גם לעבד נתונים מאתר אחר שנפתח באותה כרטיסייה). הרעיון המרכזי הוא להפריד את ביצוע קוד האתר בתהליכים שונים מקוד צד שלישי המתקבל ממקורות לא אמינים, למשל, הנכלל באמצעות iframe.

מקור: OpenNet.ru