SWAPGS - CPU 추측 실행 메커니즘의 새로운 취약점

비트디펜더 연구원 노출된 새로운 취약점(CVE-2019-1125) SWAPGS라는 이름의 현대 CPU의 추측 명령어 실행 메커니즘에서 문제를 일으키는 프로세서 명령어의 이름에 해당합니다. 취약점 그것은 수 있습니다 권한 없는 공격자가 커널 메모리 영역의 내용을 확인하거나 가상 머신을 실행하는 것을 허용합니다. 문제 확인 Intel 프로세서(x86_64) 및 부분적으로 영향을 미치다 주요 공격 벡터가 나타나지 않는 AMD 프로세서. Spectre 및 Meltdown 취약점에 대응하기 위해 이전에 구현된 방법은 Intel 프로세서를 사용할 때 SWAPGS 공격으로부터 보호하지 못하지만 Linux, ChromeOS, Android 및 Windows에 대한 수정 사항은 이미 제안되었습니다.

해당 취약점은 Spectre v1 클래스에 속하며 추측에 의한 명령 실행 이후 남은 프로세서 캐시에서 데이터를 복원한다는 아이디어를 기반으로 합니다. 성능을 향상시키기 위해 최신 CPU의 분기 예측 장치는 실행될 가능성이 가장 높은 일부 명령의 선제 실행을 사용하지만 실행을 결정하는 모든 요소의 계산을 기다리지 않습니다(예: 분기 조건 또는 액세스 매개변수가 지정되지 않은 경우). 아직 계산되지 않았습니다). 예측이 확인되지 않으면 프로세서는 추측 실행 결과를 폐기하지만, 그 동안 처리된 데이터는 프로세서 캐시에 남아 있으며, 액세스 변화를 분석하는 사이드 채널을 통해 캐시의 내용을 확인하는 방법을 사용하여 복원할 수 있습니다. 캐시된 데이터와 캐시되지 않은 데이터에 걸리는 시간.

새로운 공격의 특징은 제어가 사용자 공간에서 OS 커널(GS 사용자 공간에서 사용되는 값은 커널에서 작업 중에 사용되는 값으로 대체됩니다. Linux 커널에서 GS는 커널 데이터에 액세스하는 데 사용되는 per_cpu 포인터를 저장하고, 사용자 공간은 TLS(Thread Local Storage)에 대한 포인터를 저장합니다.

커널 공간에서 다시 커널에 액세스할 때나 GS 레지스터 변경이 필요하지 않은 코드를 실행할 때 SWAPGS 명령어를 두 번 호출하는 것을 방지하기 위해 명령어 전에 검사와 조건 분기가 수행됩니다. 추측 실행 엔진은 검사 결과를 기다리지 않고 SWAPGS 명령으로 코드 실행을 사전에 진행하며, 선택한 분기가 확인되지 않으면 결과를 버립니다. 따라서 SWAPGS 실행을 포함하지 않는 분기가 추론적으로 선택되는 경우 상황이 발생할 수 있지만 추측 실행 중에 GS 레지스터의 값은 SWAPGS 명령에 의해 변경되고 CPU 캐시에서 끝나는 종속 메모리 작업에 사용됩니다.

연구원들은 익스플로잇 프로토타입이 준비된 두 가지 공격 시나리오를 제안했습니다. 첫 번째 시나리오는 SWAPGS 명령어가 실제로 실행에 사용됨에도 불구하고 추측적으로 실행되지 않는 상황을 기반으로 하고, 두 번째 시나리오는 SWAPGS 명령어가 실제로 실행되어서는 안 되지만 추측적으로 실행되는 상황을 기반으로 한다. 각 시나리오에는 두 가지 악용 옵션이 있습니다. 공격자는 커널 영역의 특정 주소에서 값을 확인할 수 있고, 공격자는 커널의 임의 주소에서 특정 값을 검색할 수 있습니다. 공격을 수행하는 데는 오랜 시간이 걸리며 공격을 통해 유출을 완료하는 데 몇 시간이 걸릴 수 있습니다.

리눅스 커널에 문제가 있습니다 제거 다른 Spectre v1 클래스 취약점의 수정과 유사하게 SWAPGS 명령 호출 논리(예측 실행 차단)를 변경합니다. 추가된 보호는 일반적인 워크로드의 성능에 최소한의 영향을 미칠 것으로 예상됩니다. 사용자 공간과 커널 공간 사이의 전환 단계에서 대기 시간이 발생합니다. 이로 인해 애플리케이션에서 과도한 시스템 호출이 발생하거나 NMI 및 인터럽트가 자주 생성되는 경우 성능이 저하될 수 있습니다.

수정하려면 호스트 시스템과 게스트 환경 모두에 커널 업데이트를 설치한 후 시스템을 재부팅해야 합니다. Linux에서 보호를 비활성화하려면 "nospectre_v1" 옵션을 사용할 수 있으며, 이 옵션은 SWAPGS 취약점을 차단하는 조치도 비활성화합니다. 수정 사항은 다음과 같이 제공됩니다. 반점 이미 릴리스에 포함된 Linux 커널용 4.19.65, 5.2.7, 4.14.137, 4.9.188 및 4.4.188. Linux 배포판용 업데이트는 아직 출시되지 않았습니다(데비안, RHEL, 페도라, 아치 리눅스, 수세/오픈수세, Ubuntu). Windows에서는 문제가 조용히 해결되었습니다. XNUMX월 업데이트. 구글 회사 준비된 ChromeOS와 함께 제공되는 커널 4.19에 대한 수정 사항 및 Android.

Bitdefender의 연구원에 따르면 Intel은 작년 XNUMX월에 이 문제에 대한 통보를 받았습니다. 문제를 프로그래밍 방식으로 해결하기로 결정했으며 Microsoft, Google 및 Linux 커널의 개발자가 공동 수정 개발에 참여했습니다. Ivy Bridge 이전의 구형 Intel 프로세서는 익스플로잇에 사용된 WRGSBASE 명령어에 대한 지원이 부족하기 때문에 공격하기가 훨씬 더 어렵습니다. ARM, POWER, SPARC, MIPS 및 RISC-V 시스템은 SWAPGS 명령을 지원하지 않으므로 문제의 영향을 받지 않습니다.

이 문제는 주로 Intel 프로세서 소유자에게 영향을 미칩니다.
AMD 시스템에서는 XNUMX차 공격 시나리오만 재현할 수 있었는데, 이는 랜덤 메모리 영역에서 특정 값을 찾는 데 사용할 수 있는 GS 레지스터의 기본 값에 대한 추측 처리에 국한됐다. 이 공격 옵션을 차단하려면 충분하다 Spectre v1에 대한 기존 보호 방법.

출처 : opennet.ru