Rebleed היא מתקפה חדשה על מנגנון הביצוע הספקולטיבי של מעבדי אינטל ו-AMD

קבוצת חוקרים מ-ETH ציריך זיהתה מתקפה חדשה על מנגנון ביצוע ספקולטיבי של מעברים עקיפים במעבד, המאפשרת לחלץ מידע מזיכרון הליבה או לארגן התקפה על המערכת המארחת ממכונות וירטואליות. הפגיעויות נקראות בשם הקוד Retbleed (CVE-2022-29900, CVE-2022-29901) והן קרובות במהותן להתקפות Spectre-v2. ההבדל מסתכם בארגון של ביצוע ספקולטיבי של קוד שרירותי בעת עיבוד הוראת "retur" (return), אשר מביאה את הכתובת לקפוץ מהמחסנית, במקום קפיצה עקיפה באמצעות הוראת "jmp", טעינת הכתובת מ- זיכרון או אוגר CPU.

תוקף יכול ליצור תנאים לחיזוי מעבר שגוי ולארגן מעבר ממוקד, ספקולטיבי לגוש קוד שאינו מסופק על ידי לוגיקה של הפעלת התוכנית. בסופו של דבר, המעבד יקבע שחיזוי הענף לא היה מוצדק ויחזיר את הפעולה למצבה המקורי, אך הנתונים שיעובדו במהלך ביצוע ספקולטיבי יסתיימו במאגר המטמון והמיקרו-ארכיטקטוני. אם בלוק שבוצע בטעות ניגש לזיכרון, אזי הביצוע הספקולטיבי שלו יוביל לכך שנתונים שנקראו מהזיכרון יופקדו במטמון המשותף.

כדי לקבוע את הנתונים שנותרו במטמון לאחר פעולות ספקולטיביות, תוקף יכול להשתמש בטכניקות של ערוץ צדדי כדי לקבוע נתונים שיוריים, כגון ניתוח שינויים בזמני גישה לנתונים מאוחסנים ולא מאוחסנים במטמון. כדי לחלץ מידע מאזורים ברמת הרשאה אחרת (לדוגמה, מזיכרון הליבה), נעשה שימוש ב"גאדג'טים" - רצפי פקודות הקיימים בקרנל, המתאימים לקריאה ספקולטיבית של נתונים מהזיכרון בהתאם לתנאים חיצוניים שניתן להשפיע על ידי התוקף.

כדי להגן מפני התקפות קלאסיות מסוג Spectre המשתמשות בהוראות קפיצה מותנות ועקיפות, רוב מערכות ההפעלה משתמשות בטכניקת "retpoline", המבוססת על החלפת פעולות קפיצה עקיפות בהוראה "ret", שעבורן המעבדים משתמשים ביחידת חיזוי מצב מחסנית נפרדת. לא משתמש בבלוק חיזוי ענף. כאשר רטפולין הוצג בשנת 2018, האמינו כי מניפולציות של כתובת דומות ל-Spectre אינן מעשיות להסתעפות ספקולטיבית באמצעות הוראת "ret".

החוקרים שפיתחו את שיטת ההתקפה של Retbleed הדגימו אפשרות ליצור תנאים מיקרו-ארכיטקטוניים לתחילת מעבר ספקולטיבי באמצעות הוראת "ret" ופרסמו כלים מוכנים לזיהוי רצפי הוראות (גאדג'טים) המתאימים לניצול הפגיעות בקרנל הלינוקס. שבהם מתבטאים תנאים כאלה.

במהלך המחקר, הוכן ניצול עבודה המאפשר, במערכות עם מעבדי אינטל, לחלץ נתונים שרירותיים מזיכרון הליבה מתהליך בלתי מוגן במרחב המשתמש במהירות של 219 בתים לשנייה ודיוק של 98%. במעבדי AMD, היעילות של הניצול גבוהה בהרבה - קצב הדליפה הוא 3.9 KB לשנייה. כדוגמה מעשית, אנו מראים כיצד להשתמש בניצול המוצע כדי לקבוע את התוכן של קובץ /etc/shadow. במערכות עם מעבדי אינטל, המתקפה לקביעת ה-hash של סיסמת המשתמש הבסיסית בוצעה תוך 28 דקות, ובמערכות עם מעבדי AMD - תוך 6 דקות.

המתקפה אושרה במשך דורות 6-8 של מעבדי אינטל ששוחררו לפני הרבעון השלישי של 3 (כולל Skylake), ומעבדי AMD המבוססים על מיקרו-ארכיטקטורות Zen 2019, Zen 1+ ו-Zen 1 ששוחררו לפני הרבעון השני של 2. בדגמי מעבדים חדשים יותר כמו AMD Zen2021 ו-Intel Alder Lake, כמו גם במעבדי ARM, הבעיה נחסמת על ידי מנגנוני הגנה קיימים. לדוגמה, שימוש בהוראות IBRS (Indirect Branch Restricted Speculation) מסייע בהגנה מפני התקפות.

ערכת שינויים הוכנה עבור ליבת לינוקס ו-Xen hypervisor, אשר יחסמו את הבעיה בתוכנה במעבדים ישנים יותר. התיקון המוצע עבור ליבת לינוקס משנה 68 קבצים, מוסיף 1783 שורות ומוחק 387 שורות. למרבה הצער, ההגנה מובילה לעלויות תקורה משמעותיות - בטקסטים שנערכים על מעבדי AMD ואינטל, הירידה בביצועים מוערכת מ-14% ל-39%. עדיף להשתמש בהגנה המבוססת על הוראות IBRS, הזמינה בדורות חדשים של מעבדי אינטל ונתמכת החל מליבת לינוקס 4.19.

במעבדי אינטל, החלפת כתובות לקפיצה עקיפה ספקולטיבית מתבצעת הודות לתכונה המופיעה כאשר מתרחשת גלישה דרך הגבול התחתון (underflow) ב-Return Stack Buffer. כאשר תנאים כאלה מתרחשים, ההוראה "ret" מתחילה להחיל היגיון בחירת כתובת דומה לזה המשמש לקפיצות עקיפות רגילות. נמצאו יותר מאלף מקומות בקרנל הלינוקס היוצרים תנאים להפעלת זרימה חוזרת כזו ונגישים באמצעות קריאות מערכת.

במעבדי AMD, ביצוע ספקולטיבי של הוראת "ret" מתבצע ללא התייחסות למאגר ספציפי לחסימה (Return Address Stack) ויחידת חיזוי הסניף רואה בהוראה "ret" לא כהחזרת בקרה, אלא כסניף עקיף. , ובהתאם, משתמש בנתונים לחיזוי מעברים עקיפים. בתנאים אלה, ניתן לנצל כמעט כל פעולת "מחדש" שניתן להגיע אליה באמצעות קריאת מערכת.

בנוסף, זוהתה בעיה נוספת גם במעבדי AMD (CVE-2022-23825, Branch Type Confusion) הקשורה להטמעת ענפים פיקטיביים - תנאים לחיזוי ענפים יכולים להתרחש גם ללא הוראות הענף הדרושות, מה שמאפשר להשפיע על מאגר חיזוי הענף ללא ההוראה "ret". תכונה זו מסבכת באופן משמעותי את יישום ההגנה ודורשת ניקוי אקטיבי יותר של מאגר חיזוי הענף. הוספת הגנה מלאה לקרנל צפויה להגדיל את התקורה ב-209%.

מקור: OpenNet.ru