Retbleed е нов напад на шпекулативниот механизам за извршување на процесорите на Intel и AMD

Група истражувачи од ETH Цирих идентификуваа нов напад на механизмот на шпекулативно извршување на индиректни скокови во процесорот, кој ви овозможува да извлечете информации од меморијата на јадрото или да организирате напад на системот домаќин од виртуелните машини. Ранливостите беа со кодно име Retbleed (CVE-2022-29900, CVE-2022-29901) и се слични по природа на нападите Specter-v2. Разликата се сведува на организацијата на шпекулативно извршување на произволен код при обработката на инструкцијата „ret“ (враќање), која ја враќа адресата за да скокне од оџакот, наместо индиректно да скокне со помош на инструкцијата „jmp“, вчитувајќи ја адресата од меморијата. или регистар на процесорот.

Напаѓачот може да создаде услови за погрешно предвидување на скокот и да организира намерен шпекулативен скок до блок на код што не е предвиден со логиката за извршување на програмата. На крајот, процесорот ќе утврди дека предвидувањето на гранката не е оправдано и ќе ја врати операцијата во првобитната состојба, но податоците обработени за време на шпекулативното извршување ќе се сместат во кешот и микроархитектонските бафери. Ако погрешно извршениот блок изврши пристап до меморијата, тогаш неговото шпекулативно извршување ќе доведе до сместување во општата кеш меморија и податоците прочитани од меморијата.

За да ги одреди податоците оставени во кешот по шпекулативното извршување на операциите, напаѓачот може да користи методи за одредување на преостанатите податоци преку канали на трети лица, на пример, да ги анализира промените во времето на пристап до кешираните и не кешираните податоци. За намерно извлекување информации од области во различно ниво на привилегии (на пример, од меморијата на јадрото), се користат „гаџети“ - секвенци на команди присутни во кернелот, погодни за шпекулативно читање на податоци од меморијата, во зависност од надворешните услови што можат да биде под влијание на напаѓач.

За заштита од класични напади од класата Spectre, кои користат условни и индиректни инструкции за разгранување, повеќето оперативни системи ја користат техниката „retpoline“, заснована на замена на индиректните операции на разгранување со инструкцијата „ret“, за која е посебен блок за предвидување на состојбата на стек. се користи во процесори, не користи блок за предвидување на гранки. При воведувањето на retpoline во 2018 година, се веруваше дека манипулациите со адреса слични на Spectre не се практични за шпекулативно скокање со помош на инструкцијата „ret“.

Истражувачите кои го развија методот на напад на Retbleed ја покажаа можноста за создавање микроархитектонски услови за иницирање на шпекулативна транзиција користејќи ја инструкцијата „ret“ и објавија подготвен комплет алатки за идентификување на секвенци на инструкции (гаџети) погодни за искористување на ранливоста во кернелот на Linux. во кои се јавуваат такви состојби.

Во текот на студијата, беше подготвен работен експлоат кој овозможува, на системите со процесори на Intel, од непривилегиран процес во корисничкиот простор да се извлечат произволни податоци од меморијата на јадрото со брзина од 219 бајти во секунда и 98% точност. На AMD процесорите, ефикасноста на експлоатацијата е многу поголема - стапката на истекување е 3.9 KB во секунда. Како практичен пример, покажува како да се користи предложената експлоатација за да се одреди содржината на датотеката /etc/shadow. На системите со процесори на Intel, нападот за одредување на хашот на root лозинката беше извршен за 28 минути, а на системи со AMD процесори за 6 минути.

Нападот беше потврден за 6-8 генерации процесори на Intel кои беа објавени пред Q3 2019 година (вклучувајќи го и Skylake) и AMD процесори базирани на микроархитектурите Zen 1, Zen 1+ и Zen 2 кои беа објавени пред Q2021 3 година. Кај поновите модели на процесори, како што се AMD ZenXNUMX и Intel Alder Lake, како и во ARM процесорите, проблемот е блокиран од постоечките механизми за заштита. На пример, употребата на инструкции IBRS (Индиректни гранки ограничени шпекулации) помага да се заштитите од напад.

Подготвен е сет на промени за кернелот на Linux и хипервизорот Xen, кои го блокираат проблемот програмски на постарите процесори. Предложената лепенка за кернелот Линукс менува 68 датотеки, додава 1783 линии и отстранува 387 линии. За жал, заштитата води до значителни режиски трошоци - во текстовите извршени на AMD и Intel процесорите, деградацијата на перформансите се проценува од 14% до 39%. Подобро е да се користи заштита базирана на инструкции на IBRS, достапни во новите генерации на процесори на Intel и поддржани од кернелот Linux 4.19.

На процесорите на Интел, замената на адресата за шпекулативна индиректна гранка се изведува поради карактеристика што се јавува кога ќе се појави недостиг во баферот за враќање на стек. Кога ќе се појават такви услови, инструкцијата ret почнува да применува логика за избор на адреса слична на онаа што се користи во конвенционалните индиректни скокови. Пронајдени се повеќе од илјада места во кернелот на Линукс кои создаваат услови за иницирање таков повратен тек и се достапни преку системски повици.

На AMD процесорите, шпекулативното извршување на инструкцијата „ret“ се врши без повикување на бафер специфичен за стек (Return Address Stack), а блокот за предвидување на гранката ја смета инструкцијата „ret“ не како враќање на контролата, туку како индиректна гранка и, соодветно, ги користи податоците за предвидување кога предвидува индиректни транзиции. Под овие услови, може да се експлоатира речиси секоја операција „повторно“ што е достапно преку системски повик.

Дополнително, процесорите на AMD имаат и друг проблем (CVE-2022-23825, Конфузија на тип на гранка) поврзан со имплементацијата на лажни гранки - условите за предвидување на гранките може да се појават дури и без потребните инструкции за разгранување, што ви овозможува да влијаете на баферот за предвидување гранки без инструкција "ret". Оваа карактеристика значително го отежнува спроведувањето на заштитата и бара поактивно чистење на баферот за предвидување на гранките. Додавањето целосна заштита на јадрото се очекува да резултира со зголемување на трошоците за 209%.

Извор: opennet.ru