Retbleed ແມ່ນການໂຈມຕີໃຫມ່ກ່ຽວກັບກົນໄກການປະຕິບັດການຄາດເດົາຂອງ CPU Intel ແລະ AMD

ກຸ່ມນັກຄົ້ນຄວ້າຈາກ ETH Zurich ໄດ້ກໍານົດການໂຈມຕີໃຫມ່ກ່ຽວກັບກົນໄກການປະຕິບັດການຄາດເດົາຂອງການປ່ຽນແປງທາງອ້ອມໃນ CPU, ເຊິ່ງເຮັດໃຫ້ມັນສາມາດສະກັດຂໍ້ມູນຈາກຫນ່ວຍຄວາມຈໍາ kernel ຫຼືຈັດການໂຈມຕີໃນລະບົບເຈົ້າພາບຈາກ virtual machines. ຊ່ອງໂຫວ່ດັ່ງກ່າວມີຊື່ລະຫັດວ່າ Retbleed (CVE-2022-29900, CVE-2022-29901) ແລະມີຄວາມໃກ້ຊິດກັບການໂຈມຕີແບບ Spectre-v2. ຄວາມແຕກຕ່າງແມ່ນມາຈາກການຈັດຕັ້ງການປະຕິບັດການຄາດເດົາຂອງລະຫັດທີ່ຕົນເອງມັກໃນເວລາທີ່ດໍາເນີນການຄໍາແນະນໍາ "ret" (ກັບຄືນ), ເຊິ່ງດຶງເອົາທີ່ຢູ່ເພື່ອເຕັ້ນໄປຫາຈາກ stack, ແທນທີ່ຈະເປັນການກະໂດດທາງອ້ອມໂດຍໃຊ້ຄໍາແນະນໍາ "jmp", ການໂຫຼດທີ່ຢູ່ຈາກ. ຫນ່ວຍຄວາມຈໍາຫຼືລົງທະບຽນ CPU.

ຜູ້ໂຈມຕີສາມາດສ້າງເງື່ອນໄຂສໍາລັບການຄາດຄະເນການຫັນປ່ຽນທີ່ບໍ່ຖືກຕ້ອງແລະຈັດຕັ້ງການປ່ຽນເປົ້າຫມາຍ, ການຄາດເດົາໄປສູ່ບລັອກຂອງລະຫັດທີ່ບໍ່ໄດ້ສະຫນອງໃຫ້ໂດຍເຫດຜົນການປະຕິບັດໂຄງການ. ໃນທີ່ສຸດ, ໂປເຊດເຊີຈະກໍານົດວ່າການຄາດຄະເນສາຂາບໍ່ແມ່ນຄວາມຍຸດຕິທໍາແລະຈະກັບຄືນການດໍາເນີນງານໄປສູ່ສະພາບເດີມ, ແຕ່ຂໍ້ມູນທີ່ຖືກປຸງແຕ່ງໃນລະຫວ່າງການປະຕິບັດການຄາດເດົາຈະສິ້ນສຸດລົງໃນ cache ແລະ microarchitectural buffers. ຖ້າບລັອກທີ່ຖືກປະຕິບັດຢ່າງຜິດພາດເຂົ້າເຖິງຫນ່ວຍຄວາມຈໍາ, ຫຼັງຈາກນັ້ນການປະຕິບັດການຄາດເດົາຂອງມັນຈະນໍາໄປສູ່ຂໍ້ມູນທີ່ອ່ານຈາກຫນ່ວຍຄວາມຈໍາທີ່ຖືກຝາກໄວ້ໃນແຄດທີ່ໃຊ້ຮ່ວມກັນ.

ເພື່ອກໍານົດຂໍ້ມູນທີ່ຍັງເຫຼືອຢູ່ໃນ cache ຫຼັງຈາກການດໍາເນີນງານການຄາດເດົາ, ຜູ້ໂຈມຕີສາມາດນໍາໃຊ້ເຕັກນິກຊ່ອງທາງຂ້າງເພື່ອກໍານົດຂໍ້ມູນທີ່ເຫຼືອ, ເຊັ່ນ: ການວິເຄາະການປ່ຽນແປງເວລາເຂົ້າເຖິງຂໍ້ມູນໃນ cache ແລະ uncached. ເພື່ອຈຸດປະສົງສະກັດຂໍ້ມູນຈາກພື້ນທີ່ໃນລະດັບສິດທິພິເສດອື່ນ (ຕົວຢ່າງ, ຈາກຫນ່ວຍຄວາມຈໍາ kernel), "gadgets" ຖືກນໍາໃຊ້ - ລໍາດັບຂອງຄໍາສັ່ງທີ່ມີຢູ່ໃນ kernel ທີ່ເຫມາະສົມສໍາລັບການຄາດເດົາຂໍ້ມູນຈາກຫນ່ວຍຄວາມຈໍາໂດຍອີງໃສ່ເງື່ອນໄຂພາຍນອກທີ່ສາມາດໄດ້ຮັບອິດທິພົນຈາກ. ຜູ້​ໂຈມ​ຕີ.

ເພື່ອປ້ອງກັນການໂຈມຕີແບບຄລາສສິກ Spectre ທີ່ໃຊ້ຄໍາແນະນໍາການໂດດແບບມີເງື່ອນໄຂແລະທາງອ້ອມ, ລະບົບປະຕິບັດການສ່ວນໃຫຍ່ໃຊ້ເຕັກນິກ "retpoline", ເຊິ່ງອີງໃສ່ການປ່ຽນການປະຕິບັດການໂດດໂດຍທາງອ້ອມດ້ວຍຄໍາແນະນໍາ "ret", ເຊິ່ງໂປເຊດເຊີໃຊ້ຫນ່ວຍງານການຄາດຄະເນຂອງລັດ stack ແຍກຕ່າງຫາກ. . ບໍ່ໄດ້ໃຊ້ບລັອກການຄາດເດົາສາຂາ. ເມື່ອ retpoline ໄດ້ຖືກນໍາສະເຫນີໃນປີ 2018, ມັນເຊື່ອວ່າການຫມູນໃຊ້ທີ່ຄ້າຍຄືກັບ Spectre ບໍ່ໄດ້ປະຕິບັດສໍາລັບການຂະຫຍາຍສາຂາທີ່ຄາດເດົາໂດຍໃຊ້ຄໍາແນະນໍາ "ret".

ນັກຄົ້ນຄວ້າຜູ້ທີ່ພັດທະນາວິທີການໂຈມຕີ Retbleed ໄດ້ສະແດງໃຫ້ເຫັນຄວາມເປັນໄປໄດ້ຂອງການສ້າງເງື່ອນໄຂສະຖາປັດຕະຍະກໍາຈຸລະພາກສໍາລັບການລິເລີ່ມການປ່ຽນແປງການຄາດເດົາໂດຍໃຊ້ຄໍາແນະນໍາ "ret" ແລະເຜີຍແຜ່ເຄື່ອງມືທີ່ກຽມພ້ອມສໍາລັບການກໍານົດລໍາດັບຄໍາແນະນໍາ (gadgets) ທີ່ເຫມາະສົມສໍາລັບການຂຸດຄົ້ນຊ່ອງຫວ່າງໃນ Linux kernel, ໃນທີ່ເງື່ອນໄຂດັ່ງກ່າວ manifest ດ້ວຍຕົນເອງ.

ໃນລະຫວ່າງການຄົ້ນຄ້ວາ, ການຂູດຮີດການເຮັດວຽກໄດ້ຖືກກະກຽມທີ່ອະນຸຍາດໃຫ້, ໃນລະບົບທີ່ມີ CPUs Intel, ສະກັດຂໍ້ມູນ arbitrary ຈາກຫນ່ວຍຄວາມຈໍາ kernel ຈາກຂະບວນການ unprivileged ໃນພື້ນທີ່ຜູ້ໃຊ້ດ້ວຍຄວາມໄວ 219 bytes ຕໍ່ວິນາທີແລະ 98% ຄວາມຖືກຕ້ອງ. ໃນໂປເຊດເຊີ AMD, ປະສິດທິພາບຂອງການຂຸດຄົ້ນແມ່ນສູງກວ່າຫຼາຍ - ອັດຕາການຮົ່ວໄຫຼແມ່ນ 3.9 KB ຕໍ່ວິນາທີ. ເປັນຕົວຢ່າງພາກປະຕິບັດ, ພວກເຮົາສະແດງວິທີການນໍາໃຊ້ການຂຸດຄົ້ນທີ່ສະເຫນີເພື່ອກໍານົດເນື້ອໃນຂອງໄຟລ໌ /etc/shadow. ໃນລະບົບທີ່ມີ CPUs Intel, ການໂຈມຕີເພື່ອກໍານົດ hash ລະຫັດຜ່ານຜູ້ໃຊ້ຮາກໄດ້ດໍາເນີນໃນ 28 ນາທີ, ແລະໃນລະບົບທີ່ມີ CPU AMD - ໃນ 6 ນາທີ.

ການໂຈມຕີໄດ້ຖືກຢືນຢັນສໍາລັບລຸ້ນ 6-8 ຂອງໂປເຊດເຊີ Intel ທີ່ຖືກປ່ອຍອອກມາກ່ອນ Q3 2019 (ລວມທັງ Skylake), ແລະໂປເຊດເຊີ AMD ໂດຍອີງໃສ່ Zen 1, Zen 1+, ແລະ Zen 2 microarchitectures ທີ່ອອກກ່ອນ Q2021 3. ໃນຮຸ່ນໂປເຊດເຊີໃຫມ່ເຊັ່ນ AMD ZenXNUMX ແລະ Intel Alder Lake, ເຊັ່ນດຽວກັນກັບໃນໂປເຊດເຊີ ARM, ບັນຫາໄດ້ຖືກສະກັດໂດຍກົນໄກການປົກປ້ອງທີ່ມີຢູ່. ຕົວຢ່າງ, ການນໍາໃຊ້ຄໍາແນະນໍາ IBRS (Indirect Branch Restricted Speculation) ຊ່ວຍປ້ອງກັນການໂຈມຕີ.

ຊຸດຂອງການປ່ຽນແປງໄດ້ຖືກກະກຽມສໍາລັບ Linux kernel ແລະ Xen hypervisor, ເຊິ່ງຈະສະກັດກັ້ນບັນຫາໃນຊອບແວໃນ CPU ເກົ່າ. patch ທີ່ສະເຫນີສໍາລັບ Linux kernel ປ່ຽນແປງ 68 ໄຟລ໌, ເພີ່ມ 1783 ແຖວ, ແລະລຶບ 387 ແຖວ. ແຕ່ຫນ້າເສຍດາຍ, ການປົກປ້ອງເຮັດໃຫ້ຄ່າໃຊ້ຈ່າຍເກີນທີ່ສໍາຄັນ - ໃນບົດເລື່ອງທີ່ດໍາເນີນຢູ່ໃນໂປເຊດເຊີ AMD ແລະ Intel, ການຫຼຸດລົງຂອງການປະຕິບັດແມ່ນຄາດຄະເນຈາກ 14% ຫາ 39%. ມັນດີກວ່າທີ່ຈະໃຊ້ການປົກປ້ອງໂດຍອີງໃສ່ຄໍາແນະນໍາ IBRS, ທີ່ມີຢູ່ໃນ CPU Intel ລຸ້ນໃຫມ່ແລະສະຫນັບສະຫນູນເລີ່ມຕົ້ນດ້ວຍ Linux kernel 4.19.

ໃນໂປເຊດເຊີ Intel, ການທົດແທນທີ່ຢູ່ສໍາລັບການກະໂດດທາງອ້ອມທີ່ຄາດຄະເນແມ່ນດໍາເນີນຍ້ອນຄຸນນະສົມບັດທີ່ປະກົດຂຶ້ນເມື່ອການໄຫຼລົ້ນເກີດຂື້ນຜ່ານຂອບເຂດຕ່ໍາ (underflow) ໃນ Return Stack Buffer. ເມື່ອເງື່ອນໄຂດັ່ງກ່າວເກີດຂຶ້ນ, ຄໍາແນະນໍາ "ret" ເລີ່ມຕົ້ນທີ່ຈະນໍາໃຊ້ເຫດຜົນການເລືອກທີ່ຢູ່ທີ່ຄ້າຍຄືກັນກັບການນໍາໃຊ້ສໍາລັບການກະໂດດທາງອ້ອມປົກກະຕິ. ຫຼາຍກວ່າຫນຶ່ງພັນສະຖານທີ່ໄດ້ຖືກພົບເຫັນຢູ່ໃນ kernel Linux ທີ່ສ້າງເງື່ອນໄຂສໍາລັບການລິເລີ່ມ backflow ດັ່ງກ່າວແລະສາມາດເຂົ້າເຖິງໄດ້ໂດຍຜ່ານການໂທລະບົບ.

ໃນໂປເຊດເຊີ AMD, ການປະຕິບັດການຄາດເດົາຂອງຄໍາແນະນໍາ "ret" ແມ່ນດໍາເນີນການໂດຍບໍ່ມີການອ້າງອີງເຖິງ buffer ສະເພາະ stack (Return Address Stack) ແລະຫນ່ວຍງານຄາດຄະເນສາຂາພິຈາລະນາຄໍາແນະນໍາ "ret" ບໍ່ແມ່ນການສົ່ງຄືນການຄວບຄຸມ, ແຕ່ເປັນສາຂາທາງອ້ອມ. , ແລະ, ຕາມຄວາມເຫມາະສົມ, ໃຊ້ຂໍ້ມູນສໍາລັບການຄາດຄະເນການຫັນປ່ຽນທາງອ້ອມ. ພາຍໃຕ້ເງື່ອນໄຂເຫຼົ່ານີ້, ເກືອບທຸກການດໍາເນີນງານ "ret" ທີ່ສາມາດບັນລຸໄດ້ໂດຍຜ່ານການໂທຫາລະບົບສາມາດຖືກຂູດຮີດ.

ນອກຈາກນັ້ນ, ບັນຫາອື່ນຍັງໄດ້ຖືກລະບຸໄວ້ໃນ AMD CPU (CVE-2022-23825, ຄວາມສັບສົນຂອງສາຂາ) ທີ່ກ່ຽວຂ້ອງກັບການປະຕິບັດສາຂາທີ່ສົມມຸດ - ເງື່ອນໄຂສໍາລັບການຄາດຄະເນສາຂາສາມາດເກີດຂຶ້ນໄດ້ເຖິງແມ່ນວ່າບໍ່ມີຄໍາແນະນໍາສາຂາທີ່ຈໍາເປັນ, ເຊິ່ງອະນຸຍາດໃຫ້ມີອິດທິພົນຕໍ່ buffer ການຄາດຄະເນສາຂາ. ໂດຍບໍ່ມີຄໍາແນະນໍາ "ret". ຄຸນສົມບັດນີ້ເຮັດໃຫ້ເກີດຄວາມສັບສົນຫຼາຍຕໍ່ການຈັດຕັ້ງປະຕິບັດການປົກປ້ອງ ແລະຮຽກຮ້ອງໃຫ້ມີການທໍາຄວາມສະອາດຢ່າງຫ້າວຫັນຂອງ buffer ຄາດຄະເນສາຂາ. ການເພີ່ມການປົກປ້ອງຢ່າງເຕັມທີ່ກັບ kernel ຄາດວ່າຈະເພີ່ມຄ່າໃຊ້ຈ່າຍເກີນ 209%.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru