SWAPGS - פגיעות חדשה במנגנון הביצוע הספקולטיבי של CPU

חוקרים מבית Bitdefender גילה פגיעות חדשה (CVE-2019-1125) במנגנון ביצוע פקודות ספקולטיבי של מעבדים מודרניים, אשר נקרא SWAPGS, המתאים לשם הוראת המעבד שגורמת לבעיה. פגיעות היא מאפשרת תוקף חסר זכויות יכול לקבוע את התוכן של אזורי זיכרון הליבה או הפעלת מכונות וירטואליות. בְּעָיָה מְאוּשָׁר במעבדי אינטל (x86_64) וחלקית משפיע מעבדי AMD שעבורם וקטור ההתקפה הראשי אינו מופיע. שיטות שיושמו בעבר כדי לנטרל את פגיעויות ה-Spectre וה-Mtdown אינן מגנות מפני מתקפת SWAPGS בעת שימוש במעבדי אינטל, אך כבר הוצעו תיקונים עבור Linux, ChromeOS, Android ו-Windows.

הפגיעות שייכת למחלקת Spectre v1 ומבוססת על הרעיון של שחזור נתונים ממטמון המעבד שנותרו לאחר ביצוע ספקולטיבי של הוראות. כדי לשפר את הביצועים, יחידות חיזוי ענפי של מעבדים מודרניים משתמשות בביצוע מנע של כמה הוראות שסביר להניח שיבוצעו, אך מבלי להמתין לחישוב כל הגורמים שקובעים את ביצוען (לדוגמה, כאשר תנאי הסניף או פרמטרי הגישה לא בוצעו. עדיין מחושב). אם התחזית אינה מאושרת, המעבד משליך את תוצאת הביצוע הספקולטיבי, אך הנתונים המעובדים במהלכו נשארים במטמון המעבד וניתן לשחזר אותם באמצעות שיטות לקביעת תוכן המטמון דרך ערוצי צד, תוך ניתוח השינוי בגישה זמן לנתונים מאוחסנים ולא מאוחסנים במטמון.

הייחודיות של המתקפה החדשה היא השימוש בדליפה המתרחשת במהלך ביצוע ספקולטיבי של הוראת SWAPGS, המשמשת במערכות הפעלה כדי להחליף את הערך של אוגר ה-GS כאשר השליטה עוברת ממרחב המשתמש לגרעין מערכת ההפעלה (ה-GS הערך המשמש במרחב המשתמש מוחלף בערך המשמש במהלך פעולות בקרנל ). בליבת לינוקס, GS מאחסן מצביע per_cpu המשמש לגישה לנתוני ליבה, ומרחב המשתמש מאחסן מצביעים ל-TLS (אחסון מקומי של שרשור).

כדי להימנע מקריאת הוראת SWAPGS פעמיים בעת גישה שוב לקרנל ממרחב ליבה או בעת ביצוע קוד שאינו מצריך שינוי אוגר GS, מבצעים בדיקה וענף מותנה לפני ההוראה. מנוע הביצוע הספקולטיבי ממשיך באופן יזום לביצוע קוד עם הוראת SWAPGS מבלי להמתין לתוצאת הבדיקה, ואם הענף שנבחר אינו מאושר, משליך את התוצאה. לפיכך, עלול להיווצר מצב שבו ענף שאינו כרוך בביצוע SWAPGS נבחר באופן ספקולטיבי, אך במהלך ביצוע ספקולטיבי ישתנה הערך של אוגר ה-GS על ידי הוראת ה-SWAPGS וישמש בפעולות זיכרון תלויות המסתיימות במטמון ה-CPU.

חוקרים הציעו שני תרחישי תקיפה שעבורם הוכנו אבות טיפוס של ניצול. התרחיש הראשון מבוסס על המצב שבו הוראת SWAPGS לא מבוצעת באופן ספקולטיבי, למרות שהיא משמשת בפועל בביצוע, והשני הוא הפוך, כאשר הוראת SWAPGS מבוצעת באופן ספקולטיבי, למרות שאסור לבצע אותה בפועל. עבור כל תרחיש, ישנן שתי אפשרויות לניצול: התוקף יכול לקבוע את הערך בכתובת ספציפית באזור הליבה, והתוקף יכול לחפש ערך ספציפי בכתובות אקראיות בקרנל. ביצוע תקיפה לוקח זמן רב והניצול עשוי לדרוש מספר שעות כדי להשלים את הדליפה.

יש בעיה בליבת לינוקס חוסלו על ידי שינוי ההיגיון של קריאה להוראת SWAPGS (חסימת ביצוע ספקולטיבי), בדומה לתיקון של פגיעויות אחרות במחלקת Spectre v1. להגנה הנוספת צפויה להיות השפעה מינימלית על הביצועים של עומסי עבודה טיפוסיים. השהיה מתרחשת במהלך שלב המעבר בין המשתמש למרחב הקרנל, מה שעלול לגרום לביצועים גרועים כאשר, למשל, יש קריאות כבדות למערכת מהאפליקציה או יצירה תכופה של NMIs והפרעות.

התיקון דורש התקנת עדכון ליבה הן במערכת המארחת והן בסביבות האורח, ולאחר מכן אתחול המערכת מחדש. כדי להשבית את ההגנה בלינוקס, ניתן להשתמש באפשרות "nospectre_v1", אשר משביתה גם אמצעים לחסימת פגיעות SWAPGS. התיקון זמין כ תיקון עבור ליבת לינוקס, שכבר נכללת במהדורות 4.19.65, 5.2.7, 4.14.137, 4.9.188 ו-4.4.188. עדכונים עבור הפצות לינוקס עדיין לא שוחררו (דביאן, רהל, פדורה, Arch Linux, SUSE/openSUSE, אובונטו). ב-Windows, הבעיה תוקנה בשקט עדכון יולי. חברת גוגל מוּכָן תיקון עבור קרנל 4.19 שנשלח עם ChromeOS ו אנדרואיד.

לפי חוקרים מ-Bitdefender, אינטל קיבלה מידע על הבעיה עוד באוגוסט בשנה שעברה. הוחלט לתקן את הבעיה באופן פרוגרמטי, שלגביה היו מעורבים מפתחים ממיקרוסופט, גוגל וקרנל לינוקס בפיתוח מתואם של תיקון. מעבדי אינטל ישנים יותר, קדם-Ivy Bridge, הרבה יותר קשים לתקיפה בגלל היעדר תמיכה בהוראה WRGSBASE המשמשת בניצול. מערכות ARM, POWER, SPARC, MIPS ו-RISC-V אינן מושפעות מהבעיה מכיוון שהן אינן תומכות בהוראה SWAPGS.

הבעיה משפיעה בעיקר על בעלי מעבדי אינטל -
במערכות AMD, ניתן היה לשחזר רק את תרחיש ההתקפה השני, אשר מוגבל לעיבוד ספקולטיבי של ערך הבסיס של אוגר ה-GS, אשר ניתן להשתמש בו כדי לחפש ערכים ספציפיים באזורי זיכרון אקראיים. כדי לחסום את אפשרות ההתקפה הזו הוא מספיק שיטות קיימות להגנה מפני Spectre v1.

מקור: OpenNet.ru