Mayhem - напад на корупциски бит меморија за да се заобиколи автентикацијата на sudo и OpenSSH

Истражувачите од Политехничкиот институт Ворчестер (САД) воведоа нов тип на напад Mayhem кој ја користи техниката на изобличување на битови од меморијата со динамичен случаен пристап Rowhammer за да ги промени вредностите на променливите на магацинот што се користат како знамиња во програмата за да одлучат дали автентикацијата и безбедносните проверки имаат помина. Се демонстрираат практични примери на напад за да се заобиколи автентикацијата во SUDO, OpenSSH и MySQL, како и да се промени резултатот од проверките поврзани со безбедноста во библиотеката OpenSSL.

Нападот може да се примени на апликации кои користат проверки за споредување на вредности кои се разликуваат од нула. Пример за ранлив код: int auth = 0; ... // код за потврда што ја менува вредноста на автентичност во случај на успешна автентикација ако(auth != 0) врати AUTH_SUCCESS; инаку врати AUTH_FAILURE;

Во контекст на овој пример, за успешен напад доволно е да се корумпира кој било бит во меморијата поврзана со 32-битната променлива auth на стекот. Ако некој бит во променливата е оштетен, вредноста повеќе нема да биде нула и условниот оператор ќе го одреди успешното завршување на автентикацијата. Ваквите шеми за валидација се доста чести во апликациите и се наоѓаат, на пример, во SUDO, OpenSSH, MySQL и OpenSSL.

Нападот може да се примени и на споредби од формата „if(auth == 1)“, но во овој случај неговата имплементација станува посложена, бидејќи е неопходно да се искриви не било кој бит од 32, туку последниот бит. Методот, исто така, може да се користи за да се влијае на вредностите на променливите во регистрите на процесорот, бидејќи содржината на регистрите може привремено да се префрли на оџакот кога ќе се вклучи контекстуален прекинувач, повик на функција или управувач со сигнали. За време на периодот додека вредностите на регистарот се во меморијата, може да се воведат изобличувања во оваа меморија и променетата вредност ќе се врати во регистарот.

За да се искриват битовите, се користи една од модификациите на нападот на класата RowHammer. Бидејќи DRAM меморијата е дводимензионална низа на ќелии, секоја се состои од кондензатор и транзистор, вршењето континуирано читање на истиот мемориски регион резултира со флуктуации на напонот и аномалии кои предизвикуваат мала загуба на полнење во соседните ќелии. Ако интензитетот на читање е висок, тогаш соседната ќелија може да изгуби доволно голема количина на полнење и следниот циклус на регенерација нема да има време да ја врати првобитната состојба, што ќе доведе до промена на вредноста на податоците складирани во ќелијата . За да се заштитат од RowHammer, производителите на чипови додадоа механизам TRR (Освежување на целниот ред), кој ја блокира корупцијата на клетките во посебни случаи, но не заштитува од сите можни варијации на напади.

За да се заштитите од нападот Mayhem, се препорачува да се користат споредби не за да се проценат разликите од нула или случајност до еден, туку да се проверуваат совпаѓањата користејќи случајна вредност на семето со октети кои не се нула. Во овој случај, за да се постави саканата вредност на променливата, потребно е прецизно да се изобличи значителен број битови, што е нереално, за разлика од изобличувањето на еден бит. Пример за код кој не може да се нападне: int auth = 0xbe406d1a; ... // код за потврда што ја поставува вредноста за автентикација на 0x23ab8701 во случај на успешна автентикација ако(auth == 0x23ab8701) врати AUTH_SUCCESS; инаку врати AUTH_FAILURE;

Наведениот метод на заштита веќе го користеа програмерите на sudo и беше вклучен во изданието 1.9.15 како поправка за ранливоста CVE-2023-42465. Тие планираат да објават прототип на кодот за извршување на нападот откако ќе бидат направени поправки на главните ранливи проекти.

Извор: opennet.ru