Retbleed គឺជាការវាយប្រហារថ្មីមួយលើយន្តការប្រតិបត្តិតាមការប៉ាន់ស្មានរបស់ Intel និង AMD CPU

ក្រុមអ្នកស្រាវជ្រាវមកពី ETH Zurich បានកំណត់អត្តសញ្ញាណការវាយប្រហារថ្មីមួយលើយន្តការនៃការអនុវត្តការប៉ាន់ស្មាននៃការផ្លាស់ប្តូរដោយប្រយោលនៅក្នុង CPU ដែលធ្វើឱ្យវាអាចទាញយកព័ត៌មានពីអង្គចងចាំខឺណែល ឬរៀបចំការវាយប្រហារលើប្រព័ន្ធម៉ាស៊ីនពីម៉ាស៊ីននិម្មិត។ ភាពងាយរងគ្រោះត្រូវបានដាក់ឈ្មោះកូដថា Retbleed (CVE-2022-29900, CVE-2022-29901) ហើយមានលក្ខណៈជិតស្និទ្ធទៅនឹងការវាយប្រហារ Spectre-v2 ។ ភាពខុសប្លែកគ្នានេះកើតឡើងចំពោះការរៀបចំការប៉ាន់ស្មាននៃការអនុវត្តកូដបំពាននៅពេលដំណើរការការណែនាំ "ret" (ត្រឡប់) ដែលទៅយកអាសយដ្ឋានដើម្បីលោតចេញពីជង់ ជំនួសឱ្យការលោតដោយប្រយោលដោយប្រើការណែនាំ "jmp" ដោយផ្ទុកអាសយដ្ឋានពី អង្គចងចាំឬចុះឈ្មោះស៊ីភីយូ។

អ្នកវាយប្រហារអាចបង្កើតលក្ខខណ្ឌសម្រាប់ការទស្សន៍ទាយការផ្លាស់ប្តូរមិនត្រឹមត្រូវ និងរៀបចំការផ្លាស់ប្តូរដែលកំណត់គោលដៅទៅប្លុកនៃកូដដែលមិនត្រូវបានផ្តល់ឱ្យដោយតក្កវិជ្ជាប្រតិបត្តិកម្មវិធី។ នៅទីបំផុត អង្គដំណើរការនឹងកំណត់ថាការព្យាករណ៍សាខាមិនសមហេតុផលទេ ហើយនឹងត្រឡប់ប្រតិបត្តិការទៅសភាពដើមរបស់វាវិញ ប៉ុន្តែទិន្នន័យដែលបានដំណើរការកំឡុងពេលប្រតិបត្តិតាមការប៉ាន់ស្មាននឹងបញ្ចប់នៅក្នុងឃ្លាំងសម្ងាត់ និងបណ្តុំមីក្រូស្ថាបត្យកម្ម។ ប្រសិនបើប្លុកដែលបានប្រតិបត្តិដោយខុសឆ្គងចូលប្រើអង្គចងចាំ នោះការប្រតិបត្តិតាមការប៉ាន់ស្មានរបស់វានឹងនាំឱ្យទិន្នន័យដែលបានអានពីអង្គចងចាំត្រូវបានដាក់ក្នុងឃ្លាំងសម្ងាត់ដែលបានចែករំលែក។

ដើម្បីកំណត់ទិន្នន័យដែលនៅសេសសល់ក្នុងឃ្លាំងសម្ងាត់ បន្ទាប់ពីប្រតិបត្តិការស្មាន អ្នកវាយប្រហារអាចប្រើបច្ចេកទេសឆានែលចំហៀងដើម្បីកំណត់ទិន្នន័យដែលនៅសល់ ដូចជាការវិភាគការផ្លាស់ប្តូរពេលវេលាចូលប្រើទៅកាន់ទិន្នន័យក្នុងឃ្លាំងសម្ងាត់ និងមិនបានលាក់ទុក។ ដើម្បីទាញយកព័ត៌មានដោយចេតនាពីតំបន់ក្នុងកម្រិតឯកសិទ្ធិមួយផ្សេងទៀត (ឧទាហរណ៍ ពីអង្គចងចាំខឺណែល) "ឧបករណ៍" ត្រូវបានប្រើ - លំដាប់នៃពាក្យបញ្ជាដែលមាននៅក្នុងខឺណែល ដែលសមរម្យសម្រាប់ការអានទិន្នន័យដោយស្មានថា សតិ អាស្រ័យលើលក្ខខណ្ឌខាងក្រៅដែលអាចត្រូវបានជះឥទ្ធិពលដោយ អ្នកវាយប្រហារ។

ដើម្បីការពារប្រឆាំងនឹងការវាយប្រហារប្រភេទ Spectre បុរាណដែលប្រើការណែនាំលោតតាមលក្ខខណ្ឌ និងដោយប្រយោល ប្រព័ន្ធប្រតិបត្តិការភាគច្រើនប្រើបច្ចេកទេស "retpoline" ដែលផ្អែកលើការជំនួសប្រតិបត្តិការលោតដោយប្រយោលជាមួយនឹងការណែនាំ "ret" ដែល processors ប្រើឯកតាទស្សន៍ទាយស្ថានភាពជង់ដាច់ដោយឡែក។ មិនប្រើប្លុកព្យាករណ៍សាខា។ នៅពេលដែល retpoline ត្រូវបានណែនាំនៅឆ្នាំ 2018 វាត្រូវបានគេជឿថាការរៀបចំអាសយដ្ឋានដូច Spectre គឺមិនអនុវត្តជាក់ស្តែងសម្រាប់ការបែងចែកការប៉ាន់ស្មានដោយប្រើការណែនាំ "ret" នោះទេ។

អ្នកស្រាវជ្រាវដែលបានបង្កើតវិធីសាស្ត្រវាយប្រហារ Retbleed បានបង្ហាញពីលទ្ធភាពនៃការបង្កើតលក្ខខណ្ឌមីក្រូស្ថាបត្យកម្មសម្រាប់ការផ្តួចផ្តើមការផ្លាស់ប្តូរការរំពឹងទុកដោយប្រើការណែនាំ "ret" និងបានចេញផ្សាយឧបករណ៍ដែលត្រៀមរួចជាស្រេចសម្រាប់កំណត់អត្តសញ្ញាណលំដាប់នៃការណែនាំ (ឧបករណ៍) ដែលសមរម្យសម្រាប់ការទាញយកភាពងាយរងគ្រោះនៅក្នុងខឺណែលលីនុច។ ដែលលក្ខខណ្ឌបែបនេះបង្ហាញឱ្យឃើញដោយខ្លួនឯង។

ក្នុងអំឡុងពេលនៃការស្រាវជ្រាវ ការកេងប្រវ័ញ្ចការងារត្រូវបានរៀបចំដែលអនុញ្ញាតឱ្យនៅលើប្រព័ន្ធដែលមានស៊ីភីយូ Intel ទាញយកទិន្នន័យតាមអំពើចិត្តពីអង្គចងចាំខឺណែលពីដំណើរការដែលគ្មានសិទ្ធិក្នុងចន្លោះអ្នកប្រើប្រាស់ក្នុងល្បឿន 219 បៃក្នុងមួយវិនាទី និងភាពត្រឹមត្រូវ 98% ។ នៅលើប្រព័ន្ធដំណើរការ AMD ប្រសិទ្ធភាពនៃការកេងប្រវ័ញ្ចគឺខ្ពស់ជាង - អត្រាលេចធ្លាយគឺ 3.9 KB ក្នុងមួយវិនាទី។ ជាឧទាហរណ៍ជាក់ស្តែង យើងបង្ហាញពីរបៀបប្រើការកេងប្រវ័ញ្ចដែលបានស្នើឡើងដើម្បីកំណត់មាតិកានៃឯកសារ /etc/shadow ។ នៅលើប្រព័ន្ធដែលមានស៊ីភីយូ Intel ការវាយប្រហារដើម្បីកំណត់លេខកូដសម្ងាត់អ្នកប្រើប្រាស់ root ត្រូវបានអនុវត្តក្នុងរយៈពេល 28 នាទី និងនៅលើប្រព័ន្ធដែលមានស៊ីភីយូ AMD ក្នុងរយៈពេល 6 នាទី។

ការវាយប្រហារនេះត្រូវបានបញ្ជាក់សម្រាប់ជំនាន់ 6-8 នៃ Intel processors ដែលត្រូវបានចេញផ្សាយមុន Q3 2019 (រួមទាំង Skylake) និង AMD processors ដោយផ្អែកលើ Zen 1, Zen 1+ និង Zen 2 microarchitectures ដែលត្រូវបានចេញផ្សាយមុន Q2021 3។ នៅក្នុងម៉ូដែលដំណើរការថ្មីដូចជា AMD ZenXNUMX និង Intel Alder Lake ក៏ដូចជានៅក្នុងប្រព័ន្ធដំណើរការ ARM បញ្ហាត្រូវបានរារាំងដោយយន្តការការពារដែលមានស្រាប់។ ជាឧទាហរណ៍ ការប្រើប្រាស់ការណែនាំរបស់ IBRS (Indirect Branch Restricted Speculation) ជួយការពារប្រឆាំងនឹងការវាយប្រហារ។

សំណុំនៃការផ្លាស់ប្តូរត្រូវបានរៀបចំសម្រាប់ខឺណែលលីនុច និង Xen hypervisor ដែលនឹងរារាំងបញ្ហានៅក្នុងកម្មវិធីនៅលើស៊ីភីយូចាស់ៗ។ បំណះដែលបានស្នើឡើងសម្រាប់ខឺណែលលីនុចផ្លាស់ប្តូរ 68 ឯកសារ បន្ថែម 1783 បន្ទាត់ និងលុប 387 បន្ទាត់។ ជាអកុសល ការការពារនាំឱ្យមានការចំណាយលើសគួរឱ្យកត់សម្គាល់ - នៅក្នុងអត្ថបទដែលបានធ្វើឡើងនៅលើប្រព័ន្ធដំណើរការ AMD និង Intel ការថយចុះនៃដំណើរការត្រូវបានប៉ាន់ស្មានពី 14% ទៅ 39% ។ វាជាការប្រសើរក្នុងការប្រើការការពារដោយផ្អែកលើការណែនាំរបស់ IBRS ដែលមាននៅក្នុង CPU Intel ជំនាន់ថ្មី និងត្រូវបានគាំទ្រដោយចាប់ផ្តើមជាមួយ Linux kernel 4.19។

នៅលើប្រព័ន្ធដំណើរការ Intel ការជំនួសអាសយដ្ឋានសម្រាប់ការលោតដោយប្រយោលត្រូវបានអនុវត្តដោយអរគុណចំពោះលក្ខណៈពិសេសដែលលេចឡើងនៅពេលដែលការហូរហៀរកើតឡើងតាមរយៈព្រំដែនទាប (ក្រោម) នៅក្នុង Return Stack Buffer ។ នៅពេលដែលលក្ខខណ្ឌបែបនេះកើតឡើង ការណែនាំ "ret" ចាប់ផ្តើមអនុវត្តតក្កវិជ្ជានៃការជ្រើសរើសអាសយដ្ឋានដែលស្រដៀងនឹងអ្វីដែលប្រើសម្រាប់ការលោតដោយប្រយោលធម្មតា។ កន្លែងជាងមួយពាន់ត្រូវបានរកឃើញនៅក្នុងខឺណែលលីនុច ដែលបង្កើតលក្ខខណ្ឌសម្រាប់ការផ្តួចផ្តើមលំហូរត្រឡប់មកវិញ និងអាចចូលដំណើរការបានតាមរយៈការហៅតាមប្រព័ន្ធ។

នៅលើប្រព័ន្ធដំណើរការ AMD ការអនុវត្តការប៉ាន់ស្មាននៃការណែនាំ "ret" ត្រូវបានអនុវត្តដោយមិនយោងទៅលើបណ្តុំជាក់លាក់នៃបណ្តុំ (Return Address Stack) ហើយអង្គភាពព្យាករណ៍សាខាចាត់ទុកការណែនាំ "ret" មិនមែនជាការគ្រប់គ្រងត្រឡប់មកវិញទេ ប៉ុន្តែជាសាខាដោយប្រយោល។ ហើយតាមនោះ ប្រើទិន្នន័យសម្រាប់ការទស្សន៍ទាយការផ្លាស់ប្តូរដោយប្រយោល។ នៅក្រោមលក្ខខណ្ឌទាំងនេះ ស្ទើរតែរាល់ប្រតិបត្តិការ "ret" ដែលអាចឈានដល់តាមរយៈការហៅតាមប្រព័ន្ធអាចត្រូវបានទាញយក។

លើសពីនេះ បញ្ហាមួយទៀតក៏ត្រូវបានគេកំណត់អត្តសញ្ញាណផងដែរនៅក្នុងស៊ីភីយូ AMD (CVE-2022-23825, Branch Type Confusion) ដែលទាក់ទងនឹងការអនុវត្តសាខាប្រឌិត - លក្ខខណ្ឌសម្រាប់ការទស្សន៍ទាយសាខាអាចកើតឡើងសូម្បីតែដោយគ្មានការណែនាំសាខាចាំបាច់ ដែលអនុញ្ញាតឱ្យមានឥទ្ធិពលលើការព្យាករណ៍សាខា។ ដោយគ្មានការណែនាំ "ret" ។ លក្ខណៈពិសេសនេះធ្វើឱ្យស្មុគស្មាញយ៉ាងខ្លាំងដល់ការអនុវត្តការការពារ និងទាមទារឱ្យមានការសម្អាតសកម្មបន្ថែមទៀតនៃសតិបណ្ដោះអាសន្នការព្យាករណ៍សាខា។ ការបន្ថែមការការពារពេញលេញទៅខឺណែលត្រូវបានគេរំពឹងថានឹងបង្កើនចំនួនលើស 209% ។

ប្រភព: opennet.ru