טכניקה חדשה לניצול פגיעויות Spectre ב-Chrome

קבוצת חוקרים מאוניברסיטאות אמריקאיות, אוסטרליות וישראליות הציעו טכניקת תקיפה חדשה של ערוץ צד לניצול פגיעויות מסוג Spectre בדפדפנים המבוססים על מנוע Chromium. המתקפה, בשם הקוד Spook.js, מאפשרת לעקוף את מנגנון בידוד האתר על ידי הפעלת קוד JavaScript ולקרוא את התוכן של כל מרחב הכתובות של התהליך הנוכחי, כלומר. גישה לנתונים מדפים הפועלים בכרטיסיות אחרות, אך מעובדים באותו תהליך.

מכיוון שכרום מפעיל אתרים שונים בתהליכים שונים, היכולת לבצע התקפות מעשיות מוגבלת לשירותים המאפשרים למשתמשים שונים לארח את הדפים שלהם. השיטה מאפשרת, מתוך עמוד בו יש לתוקף אפשרות להטמיע את קוד ה-JavaScript שלו, לקבוע נוכחות של דפים אחרים שנפתחו על ידי המשתמש מאותו אתר ולחלץ מהם מידע סודי, למשל, אישורים או פרטי בנק שהוחלפו. על ידי מערכת מילוי אוטומטי של שדות בטפסי אינטרנט. כהדגמה, מוצג כיצד ניתן לתקוף בלוג של מישהו אחר בשירות Tumblr אם הבעלים שלו פותח בלוג של תוקפים המתארח באותו שירות בכרטיסייה אחרת.

אפשרות נוספת לשימוש בשיטה היא התקפה על תוספים לדפדפן, המאפשרת בעת התקנת תוסף הנשלט על ידי התוקף, לחלץ נתונים מתוספות אחרות. כדוגמה, אנו מראים כיצד על ידי התקנת תוסף זדוני תוכל לחלץ מידע סודי ממנהל הסיסמאות של LastPass.

חוקרים פרסמו אב טיפוס של ניצול שעובד בכרום 89 במערכות עם CPUIntel i7-6700K ו-i7-7600U. בעת יצירת הניצול, אבות טיפוס של קוד JavaScript שפורסמו בעבר על ידי גוגל שימשו לביצוע התקפות מסוג Spectre. יצוין כי החוקרים הצליחו להכין ניצול עבודה למערכות המבוססות על מעבדי Intel ו-Apple M1, המאפשרים לארגן קריאת זיכרון במהירות של 500 בתים לשנייה ובדיוק של 96%. ההנחה היא שהשיטה חלה גם על מעבדי AMD, אך לא ניתן היה להכין ניצול פונקציונלי מלא.

ההתקפה חלה על כל דפדפן המבוסס על מנוע Chromium, כולל Google Chrome, Microsoft Edge ו-Brave. החוקרים גם מאמינים שניתן להתאים את השיטה לעבודה עם פיירפוקס, אך מכיוון שמנוע פיירפוקס שונה מאוד מכרום, העבודה על יצירת ניצול כזה נותרת לעתיד.

כדי להגן מפני התקפות מבוססות דפדפן הקשורות לביצוע ספקולטיבי של הוראות, Chrome מיישם פילוח של מרחב כתובות - בידוד ארגז חול מאפשר ל-JavaScript לעבוד רק עם מצביעים של 32 סיביות ומשתף את הזיכרון של המטפלים בערימות של 4GB לא משולבות. כדי לספק גישה לכל מרחב כתובות התהליך ולעקוף את מגבלת 32 הסיביות, השתמשו החוקרים בטכניקה הנקראת Type Confusion, אשר מאלצת את מנוע ה-JavaScript לעבד אובייקט עם סוג שגוי, מה שמאפשר ליצור 64 סיביות מצביע המבוסס על שילוב של שני ערכי 32 סיביות.

מהות המתקפה היא שכאשר מעבדים אובייקט זדוני שתוכנן במיוחד במנוע ה-JavaScript, נוצרים תנאים המובילים לביצוע ספקולטיבי של הוראות הניגשות למערך. האובייקט נבחר בצורה כזו שהשדות הנשלטים על ידי התוקף ממוקמים באזור שבו נעשה שימוש במצביע 64 סיביות. מכיוון שסוג האובייקט הזדוני אינו תואם את סוג המערך המעובד, בתנאים רגילים פעולות כאלה נחסמות בכרום על ידי מנגנון לביטול אופטימיזציה של הקוד המשמש לגישה למערכים. כדי לפתור בעיה זו, הקוד עבור מתקפת ה-Type Confusion ממוקם בבלוק "אם" מותנה, שאינו מופעל בתנאים רגילים, אך מבוצע במצב ספקולטיבי, אם המעבד חוזה באופן שגוי הסתעפות נוספת.

כתוצאה מכך, המעבד ניגש באופן ספקולטיבי למצביע 64 סיביות שנוצר ומחזיר את המצב לאחור לאחר קביעת חיזוי כושל, אך עקבות הביצוע נשארים במטמון המשותף וניתן לשחזר אותם באמצעות שיטות זיהוי מטמון של ערוץ צד המנתח שינויים ב זמני גישה לנתונים מאוחסנים ולא מאוחסנים במטמון. כדי לנתח את תוכן המטמון בתנאים של דיוק לא מספיק של הטיימר הזמין ב-JavaScript, נעשה שימוש בשיטה המוצעת על ידי גוגל, אשר מטעה את אסטרטגיית פינוי המטמון Tree-PLRU המשמשת במעבדים ומאפשרת, על ידי הגדלת מספר המחזורים, להגדיל משמעותית את ההבדל בזמן כאשר ערך קיים וחסר במטמון. .

מקור: OpenNet.ru