Откриена е ранливост на класата Meltdown во процесорите AMD базирани на микроархитектурите Zen+ и Zen 2

Група истражувачи од Техничкиот универзитет во Дрезден идентификуваа ранливост (CVE-2020-12965) во процесорите AMD базирани на микроархитектурите Zen+ и Zen 2, што овозможува напад од класата Meltdown. Првично се претпоставуваше дека процесорите AMD Zen+ и Zen 2 не се подложни на ранливоста на Meltdown, но истражувачите идентификуваа карактеристика што води до шпекулативен пристап до заштитените мемориски области кога се користат не-канонски виртуелни адреси.

Архитектурата AMD64 ги користи само првите 48 бита од виртуелната адреса и ги игнорира преостанатите 16 бита. Наведено е дека битовите од 48 до 63 мора секогаш да ја копираат вредноста на битот 47 (продолжение за бит на знак). Ако овој услов е прекршен и се направи обид за пристап до адреса со произволни вредности на горните битови, процесорот генерира исклучок. Постојаното пополнување на горните битови предизвикува достапниот адресен простор да се подели на два блока - долен (од 0 до 00007FFFFFFFFFFFFFF), во кој горните битови се поставени на 800000000000 и горниот (од FFFF1 до FFFFFFFFFFFFFFFFFFFFFF), во кој сите горни битови се поставени на XNUMX.

Адресите што спаѓаат во наведените блокови се нарекуваат канонски, а неточните адреси со произволна содржина на горните битови се нарекуваат неканонски. Долниот опсег на канонски адреси обично се доделува за процесни податоци, а горниот опсег се користи за податоци од јадрото (пристапот до овие адреси од корисничкиот простор е блокиран на ниво на раздвојување на привилегиите).

Класичната ранливост на Meltdown се заснова на фактот дека за време на шпекулативно извршување на инструкциите, процесорот може да пристапи до областа на приватни податоци и потоа да го отфрли резултатот бидејќи поставените привилегии забрануваат таков пристап од процесот на корисникот. Во програмата, шпекулативно извршениот блок е одделен од главниот код со условна гранка, која во реални услови секогаш се активира, но поради фактот што условната изјава користи пресметана вредност што процесорот не ја знае при превентивното извршување на кодот, сите опции за гранка се вршат шпекулативно.

Бидејќи шпекулативно извршените операции го користат истиот кеш како вообичаено извршените инструкции, можно е за време на шпекулативно извршување да се постават маркери во кешот што ја рефлектираат содржината на поединечни битови во приватна мемориска област, а потоа во нормално извршен код за да се одреди нивната вредност преку времето анализата пристапува до кеширани и некеширани податоци.

Карактеристика на новата ранливост што влијае на процесорите AMD Zen+ и Zen 2 е тоа што процесорите дозволуваат шпекулативни операции за читање и запишување кои пристапуваат до меморијата користејќи неважечки неканонски адреси, едноставно игнорирајќи ги горните 16 бита. Така, при шпекулативно извршување на кодот, процесорот секогаш ги користи само долните 48 бита, а валидноста на адресата се проверува посебно. Ако, при преведување на неканонска виртуелна адреса на физичка адреса во асоцијативниот превод бафер (TLB), се открие совпаѓање во канонскиот дел од адресата, тогаш операцијата за шпекулативно оптоварување ќе ја врати вредноста без да ја земе предвид содржината од горните 16 бита, што овозможува заобиколување на споделувањето меморија помеѓу нишките. Последователно, операцијата ќе се смета за неважечка и отфрлена, но пристапот до меморијата ќе биде завршен и податоците ќе завршат во кешот.

За време на експериментот, користејќи ја техниката на одредување на содржината на кешот FLUSH+RELOAD, истражувачите успеаја да организираат канал за пренос на скриени податоци со брзина од 125 бајти во секунда. Покрај AMD чиповите, проблемот ги погодува и сите процесори на Intel, кои се подложни на класичната ранливост на Meltdown. Истите техники кои помагаат да се блокираат нападите на Meltdown, како што е користењето на инструкциите на LFENCE, може да се користат за заштита од овој нов тип на напади. На пример, ако процесорот на Intel вклучува хардверска заштита од Meltdown или системот има овозможена софтверска заштита, тогаш таквите конфигурации не се подложни на новата варијанта на напад.

Во исто време, истражувачите забележуваат дека, во споредба со процесорите на Intel, архитектурата на процесорите AMD ја ограничува можноста за извршување на вистински напади, но не ја исклучува употребата на нов метод во комбинација со други микроархитектонски напади за да се зголеми нивната ефикасност. Особено, предложениот напад не дозволува да се одреди содржината на мемориските области на кернелот и другите процеси, туку е ограничен на можноста да се добие пристап до други нишки од истата програма што работат во истиот виртуелен мемориски простор.

Бидејќи програмата без ранливост има можност да добие пристап до нејзините нишки, од практична гледна точка методот е од интерес за заобиколување на изолацијата на песокот и организирање пречки во работата на други нишки во програмите што овозможуваат извршување на трети лица код, како што се веб-прелистувачи и JIT мотори . Истражувачите ја испитуваа ранливоста на моторот SpiderMonkey JavaScript и кернелот на Linux за напад, но не пронајдоа ранливи секвенци на код што може да се користат за извршување на напад. Освен за напаѓање апликации, методот може да се користи и за присилување на неприфатливи текови на податоци помеѓу микроархитектонските елементи на процесорот додека се искористуваат други микроархитектонски пропусти.

Извор: opennet.ru