Нова техника за искористување на ранливостите на Spectre во Chrome

Група истражувачи од американски, австралиски и израелски универзитети предложија нова техника за напад на страничен канал за искористување на пропустите од класата Specter во прелистувачите базирани на моторот Chromium. Нападот, со кодно име Spook.js, ви овозможува да го заобиколите механизмот за изолација на страницата со вклучување на JavaScript код и да ја прочитате содржината на целиот адресен простор на тековниот процес, т.е. пристап до податоци од страници што работат во други јазичиња, но обработени во истиот процес.

Бидејќи Chrome работи на различни страници во различни процеси, можноста за извршување на практични напади е ограничена на услуги кои им овозможуваат на различни корисници да ги хостираат нивните страници. Методот овозможува, од страница во која напаѓачот има можност да го вгради својот JavaScript код, да утврди присуство на други страници отворени од корисникот од истата локација и да извлече доверливи информации од нив, на пример, акредитации или заменети банкарски податоци. преку системот на автоматско пополнување полиња во веб-обрасци. Како демонстрација, прикажано е како можете да нападнете туѓ блог на услугата Tumblr ако неговиот сопственик отвори блог на напаѓачи хостиран на истата услуга во друга картичка.

Друга опција за користење на методот е напад на додатоци на прелистувачот, што овозможува, при инсталирање на додаток контролиран од напаѓачот, да се извлечат податоци од други додатоци. Како пример, покажуваме како со инсталирање на злонамерен додаток можете да извлечете доверливи информации од менаџерот за лозинки на LastPass.

Истражувачите објавија прототип на експлоатација што работи во Chrome 89 на системи со CPUIntel i7-6700K и i7-7600U. При креирањето на експлоатот, прототиповите на JavaScript кодот претходно објавен од Google беа користени за извршување на напади од класата Specter. Забележано е дека истражувачите успеале да подготват работни експлоатации за системи базирани на процесори Intel и Apple M1, кои овозможуваат организирање на читање на меморијата со брзина од 500 бајти во секунда и точност од 96%. Се претпоставува дека методот е применлив и за AMD процесорите, но не беше можно да се подготви целосно функционален експлоат.

Нападот е применлив за сите прелистувачи базирани на моторот Chromium, вклучувајќи ги Google Chrome, Microsoft Edge и Brave. Истражувачите исто така веруваат дека методот може да се прилагоди за работа со Firefox, но бидејќи моторот на Firefox е многу различен од Chrome, работата за создавање таков експлоат е оставен за во иднина.

За да се заштити од напади базирани на прелистувач поврзани со шпекулативно извршување на инструкциите, Chrome имплементира сегментација на просторот за адреси - изолацијата на sandbox му овозможува на JavaScript да работи само со 32-битни покажувачи и ја споделува меморијата на управувачите во различни купишта од 4 GB. За да обезбедат пристап до целиот адресен простор на процесот и да го заобиколат ограничувањето од 32 бити, истражувачите користеле техника наречена Конфузија на типот, која го принудува моторот JavaScript да обработува објект со погрешен тип, што овозможува да се формира 64-битен покажувач базиран на комбинација од две 32-битни вредности.

Суштината на нападот е дека при обработка на специјално дизајниран малициозен објект во JavaScript моторот, се создаваат услови кои водат до шпекулативно извршување на инструкции кои пристапуваат до низата. Објектот е избран на таков начин што полињата контролирани од напаѓачот се поставуваат во областа каде што се користи 64-битниот покажувач. Бидејќи типот на малициозниот објект не се совпаѓа со типот на низата што се обработува, во нормални услови таквите дејства се блокирани во Chrome со механизам за деоптимизирање на кодот што се користи за пристап до низи. За да се реши овој проблем, кодот за нападот Type Confusion се става во условен блок „ако“, кој не се активира во нормални услови, туку се извршува во шпекулативен режим, доколку процесорот погрешно предвиде понатамошно разгранување.

Како резултат на тоа, процесорот шпекулативно пристапува до генерираниот 64-битен покажувач и ја враќа состојбата по одредувањето на неуспешното предвидување, но трагите од извршувањето остануваат во споделената кеш и може да се обноват со помош на методи за откривање на кешот на страничниот канал што ги анализираат промените во времиња на пристап до кеширани и некеширани податоци . За да се анализира содржината на кешот во услови на недоволна точност на тајмерот достапен во JavaScript, се користи метод предложен од Google, кој ја мами стратегијата за иселување на кешот Tree-PLRU што се користи во процесорите и овозможува, со зголемување на бројот на циклуси, значително да ја зголеми разликата во времето кога некоја вредност е присутна и отсутна во кешот.

Извор: opennet.ru