הוצעה שיטת תקיפה כדי לקבוע מרחוק שברי זיכרון בשרת

קבוצת חוקרים מהאוניברסיטה הטכנית של גראץ (אוסטריה), הידועה בעבר בפיתוח התקפות MDS, NetSpectre, Throwhammer ו-ZombieLoad, פרסמה שיטת תקיפה חדשה של ערוץ צד (CVE-2021-3714) נגד מנגנון ה-Memory-Deduplication , המאפשר לקבוע את נוכחותם של נתונים מסוימים בזיכרון, לארגן דליפה של בייט-byte של תוכן זיכרון, או לקבוע את פריסת הזיכרון כדי לעקוף את הגנת האקראיות מבוססת כתובת (ASLR). השיטה החדשה נבדלת מגרסאות שהוכחו בעבר של התקפות על מנגנון מניעת הכפילויות על ידי ביצוע התקפה ממארח ​​חיצוני תוך שימוש כקריטריון בשינוי בזמן התגובה לבקשות שנשלחות לתוקף באמצעות פרוטוקולי HTTP/1 ו-HTTP/2. היכולת לבצע את המתקפה הוכחה עבור שרתים המבוססים על לינוקס וחלונות.

התקפות על מנגנון מניעת כפילויות הזיכרון משתמשות בהפרש בזמן העיבוד של פעולת כתיבה כערוץ לדליפת מידע במצבים בהם שינוי בנתונים מוביל לשכפול של דף זיכרון משוכפל באמצעות מנגנון Copy-On-Write (COW) . במהלך הפעולה, הקרנל מזהה דפי זיכרון זהים מתהליכים שונים וממזג אותם, ממפה דפי זיכרון זהים לאזור יחיד של זיכרון פיזי כדי לאחסן רק עותק אחד. כאשר אחד התהליכים מנסה לשנות נתונים המשויכים לדפים שנמחקו, מתרחשת חריגה (תקלת עמוד) ובאמצעות מנגנון Copy-On-Write, נוצר אוטומטית עותק נפרד של דף הזיכרון, אשר מוקצה לתהליך. זמן נוסף מושקע בהשלמת העותק, מה שעשוי להיות סימן לשינויים בנתונים המפריעים לתהליך אחר.

חוקרים הראו שניתן ללכוד את העיכובים הנובעים ממנגנון COW לא רק באופן מקומי, אלא גם על ידי ניתוח שינויים בזמני אספקת התגובה דרך הרשת. הוצעו מספר שיטות לקביעת תוכן הזיכרון ממארח ​​מרוחק על ידי ניתוח זמן הביצוע של בקשות על גבי פרוטוקולי HTTP/1 ו-HTTP/2. כדי לשמור תבניות נבחרות, נעשה שימוש ביישומי אינטרנט סטנדרטיים המאחסנים את המידע המתקבל בבקשות בזיכרון.

העיקרון הכללי של המתקפה מסתכם במילוי דף זיכרון בשרת בנתונים שעלולים לחזור על תוכן דף זיכרון שכבר קיים בשרת. לאחר מכן התוקף ממתין לזמן הדרוש לליבה כדי לבטל כפילות ולמזג את דף הזיכרון, ואז משנה את הנתונים הכפולים המבוקרים ומעריך את זמן התגובה כדי לקבוע אם ההתאמה הצליחה.

במהלך הניסויים, קצב זליגת המידע המקסימלי היה 34.41 בתים לשעה בעת תקיפה דרך רשת גלובלית ו-302.16 בתים לשעה בעת תקיפה דרך רשת מקומית, שהוא מהיר יותר משיטות אחרות של חילוץ נתונים דרך ערוצי צד שלישי (לדוגמה, בהתקפת NetSpectre, קצב העברת הנתונים הוא 7.5 בתים בשעה אחת).

הוצעו שלוש אפשרויות תקיפה עובדות. האפשרות הראשונה מאפשרת לקבוע את הנתונים בזיכרון של שרת האינטרנט המשתמש ב-Memcached. המתקפה מסתכמת בטעינת קבוצות מסוימות של נתונים לאחסון Memcached, ניקוי הבלוק ששוכפל, כתיבה מחדש של אותו אלמנט ויצירת תנאי להעתקת COW על ידי שינוי תוכן הבלוק. במהלך הניסוי עם Memcached, ניתן היה לקבוע תוך 166.51 שניות את הגרסה של libc המותקנת על מערכת הפועלת במכונה וירטואלית.

האפשרות השנייה אפשרה לגלות את תוכן הרשומות ב-MariaDB DBMS, בעת שימוש באחסון InnoDB, על ידי יצירה מחדש של התוכן בייט אחר בייט. המתקפה מתבצעת על ידי שליחת בקשות ששונו במיוחד, וכתוצאה מכך חוסר התאמה של בתים בודדים בדפי זיכרון וניתוח זמן התגובה כדי לקבוע שהניחוש לגבי תוכן הבית היה נכון. קצב דליפה כזו הוא נמוך ומסתכם ב-1.5 בתים לשעה בעת תקיפה מרשת מקומית. היתרון של השיטה הוא שניתן להשתמש בה כדי לשחזר תוכן זיכרון לא ידוע.

האפשרות השלישית אפשרה לעקוף לחלוטין את מנגנון ההגנה של KASLR תוך 4 דקות ולקבל מידע על היסט הזיכרון של תמונת ליבת המכונה הווירטואלית, במצב בו כתובת ה-offset נמצאת בדף זיכרון בו נתונים אחרים אינם משתנים. התקיפה בוצעה מארח הממוקם במרחק של 14 דילוגים מהמערכת המותקפת. דוגמאות קוד ליישום ההתקפות שהוצגו מובטחות להתפרסם ב-GitHub.

מקור: OpenNet.ru