Предложен е метод на напад за далечинско одредување на фрагменти од меморијата на серверот

Група истражувачи од Техничкиот универзитет во Грац (Австрија), претходно познат по развојот на нападите MDS, NetSpectre, Throwhammer и ZombieLoad, објави нов метод за напад од страничен канал (CVE-2021-3714) против механизмот за дедупликација на меморијата. , што овозможува да се одреди присуството на одредени податоци во меморијата, да се организира бајт-по-бајт истекување на содржините на меморијата или да се одреди распоредот на меморијата за да се заобиколи заштитата од рандомизација базирана на адреси (ASLR). Новиот метод се разликува од претходно демонстрираните варијанти на напади на механизмот за дедупликација со извршување на напад од надворешен хост користејќи ја како критериум промената во времето на одговор на барањата испратени до напаѓачот преку протоколите HTTP/1 и HTTP/2. Способноста да се изврши нападот е докажана за сервери базирани на Linux и Windows.

Нападите на механизмот за дедупликација на меморијата ја користат разликата во времето на обработка на операцијата за пишување како канал за протекување информации во ситуации каде што промената на податоците води до клонирање на страницата со дедупликација на меморија со помош на механизмот Copy-On-Write (COW). . За време на работата, кернелот открива идентични мемориски страници од различни процеси и ги спојува, мапирајќи ги идентичните мемориски страници во една област на физичка меморија за да складира само една копија. Кога еден од процесите се обидува да ги промени податоците поврзани со дедупликираните страници, се јавува исклучок (грешка на страницата) и, користејќи го механизмот Copy-On-Write, автоматски се креира посебна копија од страницата за меморија, која се доделува на процесот. Дополнително време се троши за комплетирање на копијата, што може да биде знак дека промените на податоците се мешаат во друг процес.

Истражувачите покажаа дека доцнењата кои произлегуваат од механизмот COW може да се фатат не само локално, туку и со анализа на промените во времето на испорака на одговор преку мрежата. Предложени се неколку методи за одредување на содржината на меморијата од далечински хост преку анализа на времето на извршување на барањата преку протоколите HTTP/1 и HTTP/2. За да се зачуваат избраните шаблони, се користат стандардни веб-апликации кои ги складираат добиените информации во барањата во меморијата.

Општиот принцип на нападот се сведува на пополнување на мемориската страница на серверот со податоци што потенцијално ја повторуваат содржината на мемориската страница што веќе постои на серверот. Напаѓачот потоа го чека времето потребно за кернелот да ја отфрли и спои мемориската страница, потоа ги модифицира контролираните дупликати податоци и го проценува времето на одговор за да утврди дали ударот бил успешен.

За време на експериментите, максималната стапка на истекување на информации беше 34.41 бајти на час кога се напаѓа преку глобална мрежа и 302.16 бајти на час кога се напаѓа преку локална мрежа, што е побрзо од другите методи за извлекување податоци преку канали од трети страни (на пример, при напад на NetSpectre, брзината на пренос на податоци е 7.5 бајти во XNUMX часот).

Предложени се три опции за работен напад. Првата опција ви овозможува да ги одредите податоците во меморијата на веб-серверот што користи Memcached. Нападот се сведува на вчитување на одредени групи на податоци во складиштето на Memcached, бришење на дедупликираниот блок, повторно запишување на истиот елемент и создавање услови за копирање COW да се случи со промена на содржината на блокот. За време на експериментот со Memcached, беше можно да се одреди за 166.51 секунди верзијата на libc инсталирана на систем што работи во виртуелна машина.

Втората опција овозможи да се дознае содржината на записите во MariaDB DBMS, при користење на складирање на InnoDB, со повторно создавање на содржината бајт по бајт. Нападот се изведува со испраќање специјално изменети барања, што резултира со несовпаѓање на еден бајт на мемориските страници и анализирање на времето на одговор за да се утврди дека претпоставката за содржината на бајтот е точна. Стапката на такво истекување е мала и изнесува 1.5 бајти на час при напад од локална мрежа. Предноста на методот е тоа што може да се користи за враќање на непознати мемориски содржини.

Третата опција овозможи целосно да се заобиколи заштитниот механизам KASLR за 4 минути и да се добијат информации за поместувањето на меморијата на сликата на јадрото на виртуелната машина, во ситуација кога адресата на офсет е во мемориска страница во која другите податоци не се менуваат. Нападот бил извршен од домаќин лоциран на 14 скокови од нападнатиот систем. Примерите на код за имплементација на презентираните напади се ветени дека ќе бидат објавени на GitHub.

Извор: opennet.ru