Массачусетс технология институтунун изилдөөчүлөрү Spectre v2 классындагы микроархитектуралык алсыздыктарды эксплуатациялоонун жаңы жолун сунуштаган TONTOU (Убакыттан пайдаланууга чейин) чабуул ыкмасын аныкташты. Алсыздык колдонуучу мейкиндигинде эксплуатацияны аткарууда ядро эс тутумунун мазмунун аныктоого мүмкүндүк берет. Алсыздыкты эксплуатациялоону бөгөттөөчү код ядрого интеграцияланган. Linux 5-августта чыккан жана 7.1.7, 6.18.43, 6.12.102, 6.6.149, 6.1.181, 5.15.214 жана 5.10.263 чыгарылыштарына киргизилген.
Изилдөөчүлөр системаны аутентификациялоо учурунда /etc/shadow файлында сакталган жана эс тутумга жүктөлгөн түпкү колдонуучунун сырсөз хэшин аныктоо үчүн жергиликтүү, артыкчылыксыз колдонуучу чабуулунун мүмкүнчүлүгүн көрсөтүштү. Изилдөөчүлөр ядронун эс тутумунан маалыматтарды секундасына 5.47 байт өткөрүү жөндөмдүүлүгү жана 91.97% тактык менен ийгиликтүү чыгарып алышкан. Орточо эсеп менен 18 мүнөткө созулган эксплойттун 10 сыноосунун жарымында алар /etc/shadow файлынын эс тутумда бар экендигин ийгиликтүү аныктап, анын мазмунун чыгарып алышкан.
Бул эксплойт AMD процессорлору бар системаларда көрсөтүлдү жана Zen 1-4 үй-бүлөлөрүнүн AMD CPUларында колдонулушу мүмкүн. Чабуул Intel системаларында да мүмкүн, бирок эксплуатациялоо татаалыраак. Кайтаруу стекинин ашып кетишинен коргоо жана SRSO (Speculative Return Stack Overflow) алсыздыгын бөгөттөө үчүн, AMD процессорлору Safe-RET коргоо механизмин колдонушат, ал ар бир колдонуудан кийин бутак божомолдоо буферин тазалайт жана чабуул терезесин бир нече ондогон наносекунддардын ичинде аткарылган эки көрсөтмөгө чейин тарылтат.
Бул коргоону айланып өтүп, чабуул терезесин кеңейтүү үчүн, CPU жайлатуу ыкмасы ишке ашырылган, ал ядронун ичиндеги аткаруу агымын багыттоо үчүн керектүү учурда үзгүлтүктү алмаштырууга жана бутак божомолдоо буфериндеги жазууларды бузуу үчүн үзгүлтүк иштетүүчүнү колдонууга мүмкүндүк берген. SRSO алсыздыгын пайдалануу үчүн, чабуулчу бутак божомолдоо блогу спекулятивдүү түрдө көп сандаган туура эмес болжолдонгон CALL чакырууларын аткарган шарттарды түзө алат, бул кайтаруу дареги стегин ашып, стектин башында жайгашкан туура болжолдонгон кайтаруу чекиттерин кайра жазууга жетиштүү. Натыйжада, баштапкы стек элементтери чабуулчу тарабынан тандалган маанилер менен кайра жазылышы мүмкүн, бул кийинчерээк RET инструкциясын башка процесстин контекстинде спекулятивдүү аткаруу учурунда бул алмаштырылган маанилерди колдонууга алып келет.
Процессор бутак божомолу туура эмес болгонун аныктап, операцияны артка кайтарат, бирок спекулятивдик аткаруу учурунда иштетилген маалыматтар кэште жана микроархитектуралык буферлерде калат. Эгерде туура эмес аткарылган блок эс тутумга кирсе, анын спекулятивдик аткарылышы эс тутумдан окулган маалыматтардын бөлүшүлгөн кэште калышына алып келет. Кэштен маалымат алуу үчүн, кэштелген жана кэштелбеген маалыматтар үчүн кирүү убактысынын өзгөрүшүн талдоонун негизинде кэштин мазмунун аныктоо ыкмасын колдонсо болот.
Source: opennet.ru
