Retbleed는 Intel 및 AMD CPU의 추측 실행 메커니즘에 대한 새로운 공격입니다.

ETH Zurich의 연구원 그룹은 커널 메모리에서 정보를 추출하거나 가상 머신에서 호스트 시스템에 대한 공격을 구성할 수 있게 해주는 CPU의 간접 전환의 추측 실행 메커니즘에 대한 새로운 공격을 식별했습니다. 해당 취약점은 코드명 Retbleed(CVE-2022-29900, CVE-2022-29901)이며 Spectre-v2 공격과 본질적으로 유사합니다. 차이점은 "jmp" 명령을 사용하여 스택에서 주소를 로드하는 간접 점프 대신 스택에서 점프할 주소를 가져오는 "ret"(return) 명령을 처리할 때 임의 코드의 추측 실행 구성에 있습니다. 메모리나 CPU 레지스터.

공격자는 잘못된 전환 예측을 위한 조건을 만들고 프로그램 실행 로직에서 제공하지 않는 코드 블록에 대한 목표 지정 추측 전환을 구성할 수 있습니다. 궁극적으로 프로세서는 분기 예측이 타당하지 않다고 판단하고 작업을 원래 상태로 롤백하지만 추측 실행 중에 처리된 데이터는 캐시 및 마이크로아키텍처 버퍼에 저장됩니다. 잘못 실행된 블록이 메모리에 액세스하는 경우 예측 실행으로 인해 메모리에서 읽은 데이터가 공유 캐시에 저장됩니다.

추측 작업 후 캐시에 남아 있는 데이터를 확인하기 위해 공격자는 캐시된 데이터와 캐시되지 않은 데이터에 대한 액세스 시간의 변화를 분석하는 등 부채널 기술을 사용하여 잔여 데이터를 확인할 수 있습니다. 의도적으로 다른 권한 수준의 영역(예: 커널 메모리)에서 정보를 추출하기 위해 "가젯"이 사용됩니다. 이는 영향을 받을 수 있는 외부 조건에 따라 메모리에서 데이터를 추론적으로 읽는 데 적합한 커널에 있는 명령 시퀀스입니다. 공격자.

조건부 및 간접 점프 명령을 사용하는 고전적인 Spectre 클래스 공격으로부터 보호하기 위해 대부분의 운영 체제는 간접 점프 작업을 "ret" 명령으로 대체하는 "retpoline" 기술을 사용합니다. 이 기술은 프로세서가 별도의 스택 상태 예측 장치를 사용합니다. .분기 예측 블록을 사용하지 않습니다. 2018년에 리트폴린이 도입되었을 때 스펙터와 같은 주소 조작은 "ret" 명령을 사용한 추측적 분기에 실용적이지 않다고 여겨졌습니다.

Retbleed 공격 방법을 개발한 연구원들은 "ret" 명령을 사용하여 추측적 전환을 시작하기 위한 마이크로 아키텍처 조건을 생성할 수 있는 가능성을 입증했으며 Linux 커널의 취약점을 악용하는 데 적합한 명령 시퀀스(가젯)를 식별하기 위한 기성 도구를 발표했습니다. 그러한 상황이 나타나는 경우.

연구 중에 Intel CPU가 탑재된 시스템에서 초당 219바이트의 속도와 98%의 정확도로 사용자 공간에 있는 권한이 없는 프로세스의 커널 메모리에서 임의 데이터를 추출할 수 있는 작업 익스플로잇이 준비되었습니다. AMD 프로세서에서 익스플로잇의 효율성은 훨씬 높습니다. 누출률은 초당 3.9KB입니다. 실제적인 예로서 제안된 익스플로잇을 사용하여 /etc/shadow 파일의 내용을 확인하는 방법을 보여줍니다. Intel CPU가 장착된 시스템에서는 루트 사용자 비밀번호 해시를 확인하는 공격이 28분 만에 수행되었으며, AMD CPU가 장착된 시스템에서는 6분 만에 수행되었습니다.

이 공격은 6년 8분기 이전에 출시된 Intel 프로세서(Skylake 포함)의 3~2019세대와 1년 1분기 이전에 출시된 Zen 2, Zen 2021+ 및 Zen 3 마이크로아키텍처 기반 AMD 프로세서에서 확인되었습니다. AMD ZenXNUMX 및 Intel Alder Lake와 같은 최신 프로세서 모델과 ARM 프로세서에서는 기존 보호 메커니즘에 의해 문제가 차단됩니다. 예를 들어, IBRS(Indirect Branch Restricted Speculation) 명령어를 사용하면 공격으로부터 보호하는 데 도움이 됩니다.

Linux 커널 및 Xen 하이퍼바이저에 대한 일련의 변경 사항이 준비되어 있으며, 이는 이전 CPU의 소프트웨어 문제를 차단합니다. 제안된 리눅스 커널용 패치는 68개 파일을 변경하고, 1783개 라인을 추가하고, 387개 라인을 삭제했다. 안타깝게도 보호로 인해 상당한 간접 비용이 발생합니다. AMD 및 Intel 프로세서에 대해 수행된 텍스트에서는 성능 저하가 14%에서 39%로 추정됩니다. 차세대 Intel CPU에서 사용할 수 있고 Linux 커널 4.19부터 지원되는 IBRS 지침 기반 보호를 사용하는 것이 더 바람직합니다.

Intel 프로세서에서는 Return Stack Buffer의 하한(underflow)을 통해 오버플로가 발생할 때 나타나는 기능 덕분에 추측성 간접 점프에 대한 주소 대체가 수행됩니다. 이러한 상황이 발생하면 "ret" 명령어는 일반 간접 점프에 사용되는 것과 유사한 주소 선택 논리를 적용하기 시작합니다. 이러한 역류를 시작하기 위한 조건을 생성하고 시스템 호출을 통해 액세스할 수 있는 위치가 Linux 커널에서 천 개 이상 발견되었습니다.

AMD 프로세서에서는 "ret" 명령의 추측 실행이 스택별 버퍼(Return Address Stack)를 참조하지 않고 수행되며 분기 예측 유닛은 "ret" 명령을 제어 반환이 아닌 간접 분기로 간주합니다. , 이에 따라 예측 간접 전환에 데이터를 사용합니다. 이러한 조건에서는 시스템 호출을 통해 도달할 수 있는 거의 모든 "ret" 작업을 활용할 수 있습니다.

또한 가상 분기 구현과 관련된 AMD CPU(CVE-2022-23825, Branch Type Confusion)에서도 또 다른 문제가 확인되었습니다. 분기 예측 조건은 필요한 분기 명령 없이도 발생할 수 있으므로 분기 예측 버퍼에 영향을 줄 수 있습니다. "ret" 명령 없이. 이 기능은 보호 구현을 상당히 복잡하게 하며 분기 예측 버퍼를 보다 적극적으로 정리해야 합니다. 커널에 완전한 보호를 추가하면 오버헤드가 209% 증가할 것으로 예상됩니다.

출처 : opennet.ru