פגיעות בדרגת Meltdown התגלתה במעבדי AMD המבוססים על מיקרו-ארכיטקטורות Zen+ ו-Zen 2

קבוצת חוקרים מהאוניברסיטה הטכנית של דרזדן זיהתה פגיעות (CVE-2020-12965) במעבדי AMD המבוססים על מיקרו-ארכיטקטורות Zen+ ו-Zen 2, המאפשרת מתקפת מחלקה של Meltdown. בתחילה ההנחה הייתה שמעבדי AMD Zen+ ו-Zen 2 אינם רגישים לפגיעות Meltdown, אך חוקרים זיהו תכונה שמובילה לגישה ספקולטיבית לאזורי זיכרון מוגנים בעת שימוש בכתובות וירטואליות לא קנוניות.

ארכיטקטורת AMD64 משתמשת רק ב-48 הסיביות הראשונות של הכתובת הווירטואלית ומתעלמת מ-16 הסיביות הנותרות. צוין שסיביות 48 עד 63 חייבות תמיד להעתיק את הערך של סיביות 47 (סיומת סיביות). אם תנאי זה מופר ונעשה ניסיון לגשת לכתובת עם ערכים שרירותיים של הביטים העליונים, המעבד יוצר חריגה. מילוי חוזר של הסיביות העליונות גורם לחלוקה של מרחב הכתובות הזמין לשני בלוקים - תחתון (מ-0 עד 00007FFFFFFFFFFFFF), שבו הסיביות העליונות מוגדרות ל-800000000000, וחלק עליון (מ-FFFF1 ל-FFFFFFFFFFFFFFFF), שבו. כל הסיביות העליונות מוגדרות ל-XNUMX.

כתובות שנופלות בתוך הבלוקים שצוינו נקראות קנוניות, וכתובות שגויות עם תוכן שרירותי של הסיביות העליונות נקראות לא קנוניות. הטווח התחתון של כתובות קנוניות מוקצה בדרך כלל לנתוני תהליך, והטווח העליון משמש לנתוני ליבה (הגישה לכתובות אלו ממרחב המשתמש חסומה ברמת הפרדת ההרשאות).

הפגיעות הקלאסית של Meltdown מבוססת על העובדה שבמהלך ביצוע ספקולטיבי של הוראות, המעבד יכול לגשת לאזור נתונים פרטי ואז להשליך את התוצאה מכיוון שההרשאות שנקבעו אוסרות גישה כזו מהתהליך של המשתמש. בתוכנית, הבלוק המבוצע באופן ספקולטיבי מופרד מהקוד הראשי על ידי ענף מותנה, שבתנאים אמיתיים תמיד יורה, אך בשל העובדה שהמשפט המותנה משתמש בערך מחושב שהמעבד אינו יודע במהלך הביצוע המונע של הקוד, כל אפשרויות הסניף מתבצעות באופן ספקולטיבי.

מכיוון שפעולות המבוצעות באופן ספקולטיבי משתמשות באותו מטמון כמו הוראות המבוצעות בדרך כלל, ניתן במהלך ביצוע ספקולטיבי להגדיר סמנים במטמון המשקפים את התוכן של סיביות בודדות באזור זיכרון פרטי, ולאחר מכן בקוד המבוצע בדרך כלל כדי לקבוע את ערכם באמצעות תזמון גישה לניתוח לנתונים מאוחסנים ולא מאוחסנים במטמון.

תכונה של הפגיעות החדשה שמשפיעה על מעבדי AMD Zen+ ו-Zen 2 היא שהמעבדים מאפשרים פעולות קריאה וכתיבה ספקולטיביות הניגשות לזיכרון באמצעות כתובות לא חוקיות לא קנוניות, פשוט מתעלמים מ-16 הסיביות העליונות. לפיכך, במהלך ביצוע קוד ספקולטיבי, המעבד משתמש תמיד רק ב-48 הסיביות התחתונות, ותקפות הכתובת נבדקת בנפרד. אם בעת תרגום כתובת וירטואלית לא קנונית לכתובת פיזית במאגר התרגום האסוציאטיבי (TLB), מתגלה התאמה בחלק הקנוני של הכתובת, אז פעולת הטעינה הספקולטיבית תחזיר את הערך מבלי לקחת בחשבון את התוכן של 16 הסיביות העליונות, מה שמאפשר לעקוף שיתוף זיכרון בין חוטים. לאחר מכן, הפעולה תיחשב לא חוקית ותימחק, אך הגישה לזיכרון תושלם והנתונים יסתיימו במטמון.

במהלך הניסוי, תוך שימוש בטכניקה של קביעת התוכן של המטמון FLUSH+RELOAD, החוקרים הצליחו לארגן ערוץ להעברת נתונים נסתרים במהירות של 125 בתים לשנייה. בנוסף לשבבי AMD, הבעיה משפיעה גם על כל מעבדי אינטל, הרגישים לפגיעות הקלאסית של Meltdown. ניתן להשתמש באותן טכניקות שעוזרות לחסום התקפות Meltdown, כגון שימוש בהוראות LFENCE, כדי להגן מפני סוג חדש זה של התקפה. לדוגמה, אם מעבד אינטל כולל הגנת חומרה מפני Meltdown או שהמערכת מופעלת הגנת תוכנה, אז תצורות כאלה אינן רגישות לגרסה החדשה של ההתקפה.

יחד עם זאת, החוקרים מציינים כי בהשוואה למעבדי אינטל, הארכיטקטורה של מעבדי AMD מגבילה את האפשרות לבצע התקפות אמיתיות, אך אינה שוללת שימוש בשיטה חדשה בשילוב עם מתקפות מיקרו-ארכיטקטוניות אחרות להגברת יעילותן. בפרט, המתקפה המוצעת אינה מאפשרת לקבוע את התוכן של אזורי זיכרון של הליבה ותהליכים אחרים, אלא מוגבלת ליכולת לקבל גישה לשרשורים אחרים של אותה תוכנית הפועלים באותו שטח זיכרון וירטואלי.

מכיוון שלתוכנה ללא פגיעות יש את היכולת לקבל גישה לשרשורים שלה, מבחינה מעשית השיטה מעניינת לעקוף את בידוד ארגז החול וארגון הפרעות לעבודה של שרשורים אחרים בתוכנות המאפשרות ביצוע של צד שלישי קוד, כגון דפדפני אינטרנט ומנועי JIT . החוקרים בחנו את הפגיעות של מנוע ה-JavaScript של SpiderMonkey וליבת לינוקס לתקיפה, אך לא מצאו רצפי קוד פגיעים שניתן להשתמש בהם כדי לבצע תקיפה. בנוסף לתקיפת יישומים, השיטה יכולה לשמש גם כדי לאלץ זרימות נתונים בלתי מקובלות בין אלמנטים מיקרו-ארכיטקטוניים של המעבד תוך ניצול פגיעויות מיקרו-ארכיטקטוניות אחרות.

מקור: OpenNet.ru