Mayhem - ការវាយប្រហារអំពើពុករលួយបន្តិចនៃការចងចាំដើម្បីឆ្លងកាត់ការផ្ទៀងផ្ទាត់ sudo និង OpenSSH

អ្នកស្រាវជ្រាវមកពីវិទ្យាស្ថានពហុបច្ចេកទេស Worcester (សហរដ្ឋអាមេរិក) បានបង្ហាញប្រភេទថ្មីនៃការវាយប្រហារ Mayhem ដែលប្រើបច្ចេកទេស Rowhammer dynamic RAM bit distortion ដើម្បីផ្លាស់ប្តូរតម្លៃនៃ stack variables ដែលប្រើជាទង់នៅក្នុងកម្មវិធីដើម្បីសម្រេចថាតើការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងការត្រួតពិនិត្យសុវត្ថិភាពបានឆ្លងកាត់ឬអត់។ ឧទាហរណ៍ជាក់ស្តែងនៃការវាយប្រហារត្រូវបានបង្ហាញដើម្បីឆ្លងកាត់ការផ្ទៀងផ្ទាត់នៅក្នុង SUDO, OpenSSH និង MySQL ក៏ដូចជាដើម្បីផ្លាស់ប្តូរលទ្ធផលនៃការត្រួតពិនិត្យដែលទាក់ទងនឹងសុវត្ថិភាពនៅក្នុងបណ្ណាល័យ OpenSSL ។

ការវាយប្រហារអាចត្រូវបានអនុវត្តចំពោះកម្មវិធីដែលប្រើការត្រួតពិនិត្យដើម្បីប្រៀបធៀបតម្លៃដែលខុសពីសូន្យ។ ឧទាហរណ៍នៃកូដងាយរងគ្រោះ៖ int auth = 0; ... // លេខកូដផ្ទៀងផ្ទាត់ដែលផ្លាស់ប្តូរតម្លៃ auth ក្នុងករណីនៃការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ ប្រសិនបើ(auth != 0) ត្រឡប់ AUTH_SUCCESS; ផ្សេងទៀតត្រឡប់ AUTH_FAILURE;

នៅក្នុងបរិបទនៃឧទាហរណ៍នេះ សម្រាប់ការវាយប្រហារដោយជោគជ័យ វាគ្រប់គ្រាន់ក្នុងការបង្ខូចនូវប៊ីតណាមួយនៅក្នុងអង្គចងចាំដែលភ្ជាប់ជាមួយនឹងអថេរ 32-bit auth variable នៅលើជង់។ ប្រសិនបើប៊ីតណាមួយនៅក្នុងអថេរត្រូវបានខូច តម្លៃនឹងលែងជាសូន្យទៀតហើយ ហើយប្រតិបត្តិករតាមលក្ខខណ្ឌនឹងកំណត់ការបញ្ចប់ការផ្ទៀងផ្ទាត់ដោយជោគជ័យ។ គំរូសុពលភាពបែបនេះគឺជារឿងធម្មតានៅក្នុងកម្មវិធី ហើយត្រូវបានរកឃើញឧទាហរណ៍នៅក្នុង SUDO, OpenSSH, MySQL និង OpenSSL។

ការវាយប្រហារក៏អាចត្រូវបានអនុវត្តចំពោះការប្រៀបធៀបនៃទម្រង់ “if(auth == 1)” ប៉ុន្តែក្នុងករណីនេះ ការអនុវត្តរបស់វាកាន់តែស្មុគស្មាញ ព្រោះវាចាំបាច់ក្នុងការបង្ខូចទ្រង់ទ្រាយមិនមែន 32 ណាមួយឡើយ ប៉ុន្តែជាប៊ីតចុងក្រោយ។ វិធីសាស្ត្រនេះក៏អាចត្រូវបានប្រើដើម្បីជះឥទ្ធិពលលើតម្លៃនៃអថេរនៅក្នុងការចុះឈ្មោះដំណើរការដោយហេតុថា មាតិកានៃបញ្ជីឈ្មោះអាចត្រូវបានហូរចេញជាបណ្ដោះអាសន្ននៅលើជង់ នៅពេលដែលកុងតាក់បរិបទ ការហៅមុខងារ ឬឧបករណ៍ដោះស្រាយសញ្ញាឆេះ។ ក្នុងអំឡុងពេលនៃពេលវេលាខណៈពេលដែលតម្លៃចុះឈ្មោះស្ថិតនៅក្នុងសតិ ការបង្ខូចទ្រង់ទ្រាយអាចត្រូវបានណែនាំទៅក្នុងអង្គចងចាំនេះ ហើយតម្លៃដែលបានផ្លាស់ប្តូរនឹងត្រូវបានស្ដារទៅការចុះឈ្មោះ។

ដើម្បីបង្ខូចទ្រង់ទ្រាយប៊ីត ការកែប្រែមួយនៃការវាយប្រហាររបស់ RowHammer class ត្រូវបានប្រើ។ ដោយសារអង្គចងចាំ DRAM គឺជាអារេពីរវិមាត្រនៃកោសិកា ដែលនីមួយៗមាន capacitor និង transistor ដំណើរការអានជាបន្តបន្ទាប់នៃតំបន់អង្គចងចាំដូចគ្នា បណ្តាលឱ្យមានការប្រែប្រួលវ៉ុល និងភាពមិនធម្មតាដែលបណ្តាលឱ្យបាត់បង់បន្ទុកតូចមួយនៅក្នុងកោសិកាជិតខាង។ ប្រសិនបើអាំងតង់ស៊ីតេនៃការអានខ្ពស់ នោះក្រឡាដែលនៅជិតខាងអាចបាត់បង់បន្ទុកច្រើនគ្រប់គ្រាន់ ហើយវដ្តនៃការបង្កើតឡើងវិញបន្ទាប់នឹងមិនមានពេលវេលាដើម្បីស្ដារស្ថានភាពដើមរបស់វាឡើងវិញ ដែលនឹងនាំទៅរកការផ្លាស់ប្តូរតម្លៃនៃទិន្នន័យដែលបានរក្សាទុកក្នុងក្រឡា។ . ដើម្បីការពារប្រឆាំងនឹង RowHammer ក្រុមហ៊ុនផលិតបន្ទះឈីបបានបន្ថែមយន្តការ TRR (Target Row Refresh) ដែលទប់ស្កាត់អំពើពុករលួយកោសិកានៅក្នុងករណីពិសេស ប៉ុន្តែមិនការពារប្រឆាំងនឹងការប្រែប្រួលនៃការវាយប្រហារដែលអាចកើតមានទាំងអស់នោះទេ។

ដើម្បីការពារប្រឆាំងនឹងការវាយប្រហាររបស់ Mayhem វាត្រូវបានផ្ដល់អនុសាសន៍ឱ្យប្រើការប្រៀបធៀបមិនមែនដើម្បីវាយតម្លៃភាពខុសគ្នាពីសូន្យ ឬចៃដន្យទៅមួយ ប៉ុន្តែដើម្បីពិនិត្យមើលការប្រកួតដោយប្រើតម្លៃគ្រាប់ពូជចៃដន្យជាមួយនឹង octets មិនមែនសូន្យ។ ក្នុងករណីនេះ ដើម្បីកំណត់តម្លៃដែលចង់បាននៃអថេរ វាចាំបាច់ក្នុងការបង្ខូចទ្រង់ទ្រាយចំនួនប៊ីតយ៉ាងត្រឹមត្រូវ ដែលមិនប្រាកដនិយម ផ្ទុយទៅនឹងការបង្ខូចទ្រង់ទ្រាយនៃប៊ីតមួយ។ ឧទាហរណ៍នៃកូដដែលមិនអាចវាយប្រហារបាន៖ int auth = 0xbe406d1a; ... // លេខកូដផ្ទៀងផ្ទាត់ដែលកំណត់តម្លៃផ្ទៀងផ្ទាត់ទៅ 0x23ab8701 ក្នុងករណីការផ្ទៀងផ្ទាត់ដោយជោគជ័យ ប្រសិនបើ(auth == 0x23ab8701) ត្រឡប់ AUTH_SUCCESS; ផ្សេងទៀតត្រឡប់ AUTH_FAILURE;

វិធីសាស្ត្រការពារដែលបានបញ្ជាក់ត្រូវបានប្រើប្រាស់រួចហើយដោយអ្នកអភិវឌ្ឍន៍ sudo ហើយត្រូវបានរួមបញ្ចូលនៅក្នុងការចេញផ្សាយ 1.9.15 ជាការជួសជុលសម្រាប់ភាពងាយរងគ្រោះ CVE-2023-42465 ។ ពួកគេមានគម្រោងបោះពុម្ពគំរូដើមនៃកូដសម្រាប់អនុវត្តការវាយប្រហារ បន្ទាប់ពីការជួសជុលត្រូវបានធ្វើឡើងចំពោះគម្រោងដែលងាយរងគ្រោះសំខាន់ៗ។

ប្រភព: opennet.ru