マサチューセッツ工科大学の研究者らは、Spectre v2クラスのマイクロアーキテクチャ上の脆弱性を悪用する新たな手法であるTONTOU（Time-of-Neutralization to Time-of-Use）攻撃手法を特定した。この脆弱性により、ユーザー空間でエクスプロイトを実行する際にカーネルメモリの内容が特定される可能性がある。この脆弱性の悪用を阻止するコードはカーネルに組み込まれている。 Linux 8月5日にリリースされ、7.1.7、6.18.43、6.12.102、6.6.149、6.1.181、5.15.214、および5.10.263に含まれています。
研究者らは、ローカルの非特権ユーザーによる攻撃によって、システム認証中にメモリにロードされる /etc/shadow ファイルに格納されているルートユーザーのパスワードハッシュを特定できることを実証した。研究者らは、毎秒 5.47 バイトのスループットと 91.97% の精度でカーネルメモリからデータを漏洩させることに成功した。平均 18 分かかった 10 回のテスト実行のうち、半数でメモリ内に /etc/shadow ファイルが存在することを検出し、その内容を抽出することに成功した。
この脆弱性はAMDプロセッサ搭載システムで実証されており、Zen 1～4ファミリーのAMD CPUで使用可能です。Intelシステムでも攻撃は可能ですが、その場合、悪用はより複雑になります。リターンスタックオーバーフローを防ぎ、SRSO（投機的リターンスタックオーバーフロー）の脆弱性をブロックするために、AMDプロセッサはSafe-RET保護メカニズムを採用しています。このメカニズムは、使用後に分岐予測バッファをクリアし、攻撃ウィンドウを数十ナノ秒以内に実行される2つの命令に絞り込みます。
この保護を回避して攻撃のタイミングを拡大するために、CPU の速度低下技術が実装され、適切なタイミングで割り込み置換を行うことでカーネル内の実行フローをリダイレクトし、割り込みハンドラを使用して分岐予測バッファのエントリを破損させることが可能になりました。SRSO の脆弱性を悪用するために、攻撃者は、分岐予測ユニットが誤って予測された多数の CALL コールを投機的に実行し、リターン アドレス スタックをオーバーフローさせて、スタックの先頭にある正しく予測されたリターン ポイントを上書きするような状況を作り出すことができます。その結果、初期スタック要素が攻撃者によって選択された値で上書きされ、その後、別のプロセスのコンテキストで RET 命令を投機的に実行する際に、これらの置き換えられた値が使用されることになります。
プロセッサは分岐予測が誤りであったと判断し、操作をロールバックしますが、投機的実行中に処理されたデータはキャッシュとマイクロアーキテクチャバッファに残ります。誤って実行されたブロックがメモリにアクセスする場合、その投機的実行によってメモリから読み取られたデータも共有キャッシュに残ります。キャッシュから情報を取得するには、キャッシュされたデータとキャッシュされていないデータのアクセス時間の変化を分析することでキャッシュの内容を判断する方法を使用できます。
出所： オープンネット.ru
