Chrome의 Spectre 취약점을 악용하는 새로운 기술

미국, 호주, 이스라엘 대학의 연구원 그룹이 Chromium 엔진 기반 브라우저의 스펙터 클래스 취약점을 악용하기 위한 새로운 부채널 공격 기법을 제안했습니다. 코드명 Spook.js라는 공격을 사용하면 JavaScript 코드를 실행하여 사이트 격리 메커니즘을 우회하고 현재 프로세스의 전체 주소 공간 내용을 읽을 수 있습니다. 다른 탭에서 실행되는 페이지의 데이터에 액세스하지만 동일한 프로세스에서 처리됩니다.

Chrome은 다양한 프로세스에서 다양한 사이트를 실행하므로 실제 공격을 수행할 수 있는 능력은 다양한 사용자가 페이지를 호스팅할 수 있도록 허용하는 서비스로 제한됩니다. 이 방법을 사용하면 공격자가 자신의 JavaScript 코드를 삽입할 기회가 있는 페이지에서 동일한 사이트에서 사용자가 연 다른 페이지가 있는지 확인하고 해당 페이지에서 기밀 정보(예: 대체된 자격 증명 또는 은행 정보)를 추출할 수 있습니다. 웹 양식의 자동 채우기 필드 시스템을 통해. 데모로서 소유자가 동일한 서비스에서 호스팅되는 공격자의 블로그를 다른 탭에서 열면 Tumblr 서비스에서 다른 사람의 블로그를 공격할 수 있는 방법을 보여줍니다.

이 방법을 사용하는 또 다른 옵션은 브라우저 추가 기능에 대한 공격으로, 공격자가 제어하는 ​​추가 기능을 설치할 때 다른 추가 기능에서 데이터를 추출할 수 있습니다. 예를 들어, 악성 추가 기능을 설치하여 LastPass 비밀번호 관리자에서 기밀 정보를 추출할 수 있는 방법을 보여줍니다.

연구원들은 CPUIntel i89-7K 및 i6700-7U가 탑재된 시스템의 Chrome 7600에서 작동하는 익스플로잇의 프로토타입을 게시했습니다. 익스플로잇을 생성할 때 Google이 이전에 게시한 JavaScript 코드의 프로토타입이 스펙터급 공격을 수행하는 데 사용되었습니다. 연구원들은 초당 1바이트의 속도와 500%의 정확도로 메모리 읽기를 구성할 수 있는 Intel 및 Apple M96 프로세서 기반 시스템에 대한 작업 익스플로잇을 준비할 수 있었습니다. 이 방법은 AMD 프로세서에도 적용될 수 있다고 가정하지만, 완전한 기능을 갖춘 익스플로잇을 준비하는 것은 불가능했습니다.

이 공격은 Google Chrome, Microsoft Edge, Brave 등 Chromium 엔진을 기반으로 하는 모든 브라우저에 적용 가능합니다. 연구원들은 또한 이 방법이 Firefox에서 작동하도록 조정할 수 있다고 믿습니다. 그러나 Firefox 엔진은 Chrome과 매우 다르기 때문에 이러한 공격을 만드는 작업은 미래에 남겨져 있습니다.

추측에 의한 명령 실행과 관련된 브라우저 기반 공격으로부터 보호하기 위해 Chrome은 주소 공간 분할을 구현합니다. 즉, 샌드박스 격리를 통해 JavaScript는 32비트 포인터로만 작동하고 분리된 4GB 힙에서 핸들러 메모리를 공유할 수 있습니다. 전체 프로세스 주소 공간에 대한 액세스를 제공하고 32비트 제한을 우회하기 위해 연구원들은 Type Confusion이라는 기술을 사용했습니다. 이 기술은 JavaScript 엔진이 잘못된 유형의 개체를 처리하도록 하여 64비트 주소를 구성할 수 있게 합니다. 두 개의 32비트 값 조합을 기반으로 하는 포인터입니다.

공격의 본질은 JavaScript 엔진에서 특별히 설계된 악성 개체를 처리할 때 배열에 액세스하는 명령의 추측 실행으로 이어지는 조건이 생성된다는 것입니다. 64비트 포인터가 사용되는 영역에 공격자가 제어하는 ​​필드가 배치되도록 개체를 선택합니다. 악성 개체의 유형이 처리 중인 배열의 유형과 일치하지 않으므로 일반적인 조건에서는 배열에 액세스하는 데 사용되는 코드를 최적화 해제하는 메커니즘을 통해 Chrome에서 이러한 작업이 차단됩니다. 이 문제를 해결하기 위해 유형 혼란 공격을 위한 코드는 조건부 "if" 블록에 배치됩니다. 이 블록은 정상적인 조건에서는 활성화되지 않지만 프로세서가 추가 분기를 잘못 예측하는 경우 추측 모드에서 실행됩니다.

결과적으로 프로세서는 생성된 64비트 포인터에 추론적으로 액세스하여 예측 실패를 판단한 후 상태를 롤백하지만 실행 흔적은 공유 캐시에 남아 있으며 변경 사항을 분석하는 사이드 채널 캐시 감지 방법을 사용하여 복원할 수 있습니다. 캐시된 데이터와 캐시되지 않은 데이터에 대한 액세스 시간. JavaScript에서 사용 가능한 타이머의 정확도가 충분하지 않은 조건에서 캐시의 내용을 분석하기 위해 Google에서 제안한 방법이 사용됩니다. 이 방법은 프로세서에서 사용되는 Tree-PLRU 캐시 제거 전략을 속이고 사이클 수를 늘려 다음을 허용합니다. 캐시에 값이 있을 때와 없을 때의 시간 차이가 크게 늘어납니다. .

출처 : opennet.ru