Spectre 4 공격 보호를 우회할 수 있는 eBPF의 취약점

Spectre v4 공격(SSB, Speculative Store Bypass)에 대한 보호를 우회하는 데 eBPF 하위 시스템을 사용할 수 있는 두 가지 취약점이 Linux 커널에서 확인되었습니다. 공격자는 권한이 없는 BPF 프로그램을 사용하여 특정 작업의 추측 실행 조건을 만들고 커널 메모리의 임의 영역 내용을 확인할 수 있습니다. 커널의 eBPF 하위 시스템 관리자는 실제로 공격을 수행할 수 있는 능력을 보여주는 프로토타입 익스플로잇에 대한 액세스 권한을 받았습니다. 문제는 패치(1, 2) 형태로 수정되었으며, 다음 Linux 커널 업데이트에 포함될 예정입니다. 배포 키트의 업데이트는 아직 생성되지 않았습니다(Debian, RHEL, SUSE, Arch, Fedora, Ubuntu).

스펙터 4 공격 방법은 간접 주소 지정을 사용하여 교대로 쓰기 및 읽기 작업을 처리할 때 작업의 추측적 실행 결과를 폐기한 후 프로세서 캐시에 저장된 데이터를 복원하는 방식을 기반으로 합니다. 읽기 작업이 쓰기 작업 뒤에 오는 경우(예: mov [rbx + rcx], 0x0; mov rax, [rdx + rsi]) 유사한 작업이 수행되어 읽기 주소의 오프셋이 이미 알려져 있을 수 있습니다(읽기 작업은 다음과 같습니다). 훨씬 더 자주 수행되고 캐시에서 읽기가 수행될 수 있음) 프로세서는 쓰기의 간접 오프셋이 계산될 때까지 기다리지 않고 쓰기 전에 추측적으로 읽기를 수행할 수 있습니다.

오프셋을 계산한 후 쓰기와 읽기를 위한 메모리 영역의 교차가 감지되면 프로세서는 이미 추론적으로 얻은 읽기 결과를 버리고 이 작업을 반복합니다. 이 기능을 사용하면 저장 작업이 아직 완료되지 않은 동안 읽기 명령이 일부 주소의 이전 값에 액세스할 수 있습니다. 실패한 추측 작업을 삭제한 후에도 해당 실행의 흔적은 캐시에 남아 있으며, 캐시된 데이터와 캐시되지 않은 데이터에 대한 액세스 시간 변화 분석을 기반으로 캐시 내용을 결정하는 방법 중 하나를 사용하여 캐시를 검색할 수 있습니다.

첫 번째 취약점(CVE-2021-35477)은 BPF 프로그램 확인 메커니즘의 결함으로 인해 발생합니다. Spectre 4 공격으로부터 보호하기 위해 검증자는 잠재적으로 문제가 있는 메모리를 메모리에 저장한 후 이전 작업의 흔적을 대체하기 위해 null 값을 저장하는 추가 명령을 추가합니다. null 쓰기 작업은 BPF 스택 프레임에 대한 포인터에만 의존하기 때문에 매우 빠르고 예측 실행을 차단할 것으로 예상되었습니다. 그러나 실제로는 선점 저장 연산 이전에 투기적 실행으로 이어지는 명령이 실행되도록 하는 조건을 만드는 것이 가능한 것으로 밝혀졌다.

두 번째 취약점(CVE-2021-3455)은 BPF 검증자가 잠재적으로 위험한 메모리 저장 작업을 식별할 때 보호되지 않는 첫 번째 쓰기 작업인 BPF 스택의 초기화되지 않은 영역을 고려하지 않는다는 사실로 인해 발생합니다. 이 기능을 사용하면 저장 명령을 실행하기 전에 초기화되지 않은 메모리 영역에 따라 추론적 읽기 작업을 수행할 수 있습니다. BPF 스택에 대한 새 메모리는 할당된 메모리에 이미 있는 내용을 확인하지 않고 할당되며, BPF 프로그램이 실행되기 전에 BPF 스택에 할당될 메모리 영역의 내용을 조작하는 방법이 있습니다.

출처 : opennet.ru