സ്‌പെക്ടർ 4 ആക്രമണ പരിരക്ഷയെ മറികടക്കാൻ കഴിയുന്ന ഇബിപിഎഫിലെ കേടുപാടുകൾ

Specter v4 (SSB, ഊഹക്കച്ചവട സ്റ്റോർ ബൈപാസ്) ആക്രമണ പരിരക്ഷയെ മറികടക്കാൻ eBPF സബ്സിസ്റ്റത്തെ അനുവദിക്കുന്ന ലിനക്സ് കേർണലിൽ രണ്ട് കേടുപാടുകൾ തിരിച്ചറിഞ്ഞിട്ടുണ്ട്. ഒരു അനഭിലഷണീയമായ BPF പ്രോഗ്രാം ഉപയോഗിച്ച്, ഒരു ആക്രമണകാരിക്ക് ചില പ്രവർത്തനങ്ങളുടെ ഊഹക്കച്ചവട നിർവ്വഹണത്തിനുള്ള വ്യവസ്ഥകൾ സൃഷ്ടിക്കാനും കേർണൽ മെമ്മറിയുടെ ഏകപക്ഷീയമായ ഏരിയകളുടെ ഉള്ളടക്കം നിർണ്ണയിക്കാനും കഴിയും. കേർണലിലെ എസ്കോർട്ട് eBPF സബ്സിസ്റ്റമുകൾക്ക് ഒരു പ്രോട്ടോടൈപ്പ് ചൂഷണത്തിലേക്ക് പ്രവേശനം ലഭിച്ചു, അത് പ്രായോഗികമായി ആക്രമണങ്ങൾ നടത്താനുള്ള സാധ്യത പ്രകടമാക്കുന്നു. അടുത്ത ലിനക്സ് കേർണൽ അപ്‌ഡേറ്റിന്റെ ഭാഗമായ പാച്ചുകളുടെ രൂപത്തിൽ (1, 2) പ്രശ്നങ്ങൾ പരിഹരിച്ചു. വിതരണങ്ങളിലെ അപ്‌ഡേറ്റുകൾ ഇതുവരെ രൂപീകരിച്ചിട്ടില്ല (Debian, RHEL, SUSE, Arch, Fedora, Ubuntu).

സ്‌പെക്‌റ്റർ 4 ആക്രമണ രീതി, പരോക്ഷ വിലാസം ഉപയോഗിച്ച് ഒന്നിടവിട്ട എഴുത്ത്, വായന പ്രവർത്തനങ്ങൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ ഓപ്പറേഷനുകളുടെ ഊഹക്കച്ചവട നിർവ്വഹണത്തിന്റെ ഫലം നിരസിച്ചതിന് ശേഷം പ്രോസസ്സർ കാഷെയിൽ സ്ഥിരതാമസമാക്കിയ ഡാറ്റ പുനഃസ്ഥാപിക്കുന്നതിനെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്. ഒരു റീഡ് ഓപ്പറേഷൻ ഒരു റൈറ്റ് ഓപ്പറേഷൻ പിന്തുടരുമ്പോൾ (ഉദാഹരണത്തിന്, mov [rbx + rcx], 0x0; mov rax, [rdx + rsi]), സമാന പ്രവർത്തനങ്ങൾ നടക്കുന്നതിനാൽ, റീഡ് അഡ്രസ് ഓഫ്‌സെറ്റ് ഇതിനകം തന്നെ അറിയപ്പെട്ടേക്കാം (റീഡ് ഓപ്പറേഷനുകൾ നടത്തപ്പെടുന്നു കൂടുതൽ ഇടയ്‌ക്കിടെ കാഷെയിൽ നിന്ന് ഒരു റീഡ് നടത്താം) കൂടാതെ റൈറ്റ് ഇൻഡെറക്‌ഷൻ ഓഫ്‌സെറ്റ് കണക്കാക്കുന്നത് വരെ കാത്തിരിക്കാതെ പ്രൊസസറിന് ഒരു റൈറ്റിനു മുമ്പായി ഊഹക്കച്ചവടം നടത്താനാകും.

ഓഫ്‌സെറ്റ് കണക്കാക്കിയ ശേഷം, എഴുതുന്നതിനും വായിക്കുന്നതിനുമുള്ള മെമ്മറി ഏരിയകളുടെ ഒരു വിഭജനം കണ്ടെത്തിയാൽ, പ്രോസസർ ഇതിനകം തന്നെ ഊഹക്കച്ചവടത്തിൽ ലഭിച്ച വായനാ ഫലം നിരസിക്കുകയും ഈ പ്രവർത്തനം ആവർത്തിക്കുകയും ചെയ്യും. സ്റ്റോർ പ്രവർത്തനം ഇതുവരെ പൂർത്തിയാകാത്ത സമയത്ത് ചില വിലാസങ്ങളിൽ പഴയ മൂല്യം ആക്‌സസ് ചെയ്യാൻ ഈ സവിശേഷത റീഡ് നിർദ്ദേശത്തെ അനുവദിക്കുന്നു. വിജയിക്കാത്ത ഊഹക്കച്ചവടം നിരസിച്ചതിന് ശേഷം, അതിന്റെ നിർവ്വഹണത്തിന്റെ സൂചനകൾ കാഷെയിൽ അവശേഷിക്കുന്നു, അതിനുശേഷം കാഷെയിൽ ഉള്ളതും കാഷെ ചെയ്യാത്തതുമായ ഡാറ്റയിലേക്കുള്ള ആക്‌സസ് സമയത്തിലെ മാറ്റങ്ങളുടെ വിശകലനത്തെ അടിസ്ഥാനമാക്കി കാഷെയുടെ ഉള്ളടക്കം നിർണ്ണയിക്കുന്നതിനുള്ള രീതികളിലൊന്ന് വീണ്ടെടുക്കാൻ ഉപയോഗിക്കാം. അത്.

BPF പ്രോഗ്രാം വെരിഫിക്കേഷൻ മെക്കാനിസത്തിലെ ഒരു പിഴവ് മൂലമാണ് ആദ്യത്തെ അപകടസാധ്യത (CVE-2021-35477). സ്‌പെക്‌റ്റർ 4 ആക്രമണത്തിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിന്, പ്രശ്‌നസാധ്യതയുള്ള സ്‌റ്റോർ പ്രവർത്തനങ്ങൾക്ക് ശേഷം വെരിഫയർ മെമ്മറിയിലേക്ക് ഒരു അധിക നിർദ്ദേശം ചേർക്കുന്നു, മുമ്പത്തെ പ്രവർത്തനത്തിന്റെ ട്രെയ്‌സുകൾ ഒഴിവാക്കുന്നതിന് പൂജ്യത്തിന്റെ മൂല്യം സംഭരിക്കുന്നു. സീറോ റൈറ്റ് ഓപ്പറേഷൻ വളരെ വേഗതയുള്ളതും ഊഹക്കച്ചവട നിർവ്വഹണത്തെ തടയുന്നതുമാണ്, കാരണം ഇത് ബിപിഎഫ് സ്റ്റാക്ക് ഫ്രെയിമിലേക്കുള്ള പോയിന്ററിനെ മാത്രം ആശ്രയിച്ചിരിക്കുന്നു. എന്നാൽ വാസ്തവത്തിൽ, മുൻകരുതൽ സ്റ്റോർ പ്രവർത്തനത്തിന് മുമ്പ് ഊഹക്കച്ചവട നിർവ്വഹണത്തിലേക്ക് നയിക്കുന്ന നിർദ്ദേശം നടപ്പിലാക്കാൻ സമയമുള്ള സാഹചര്യങ്ങൾ സൃഷ്ടിക്കുന്നത് സാധ്യമാണെന്ന് തെളിഞ്ഞു.

രണ്ടാമത്തെ അപകടസാധ്യത (CVE-2021-3455) BPF വെരിഫയർ വഴി അപകടകരമായ മെമ്മറി സേവ് ഓപ്പറേഷനുകൾ കണ്ടെത്തുമ്പോൾ, BPF സ്റ്റാക്കിന്റെ അൺഇനീഷ്യലൈസ്ഡ് ഏരിയകൾ കണക്കിലെടുക്കുന്നില്ല, ആദ്യ റൈറ്റ് ഓപ്പറേഷൻ പരിരക്ഷിക്കപ്പെടുന്നില്ല എന്ന വസ്തുതയുമായി ബന്ധപ്പെട്ടതാണ്. . ഒരു സ്റ്റോർ നിർദ്ദേശം നടപ്പിലാക്കുന്നതിന് മുമ്പ്, ഒരു അൺഇനിഷ്യലൈസ്ഡ് മെമ്മറി ഏരിയയെ ആശ്രയിച്ച്, ഒരു ഊഹക്കച്ചവട വായന ഓപ്പറേഷൻ നടത്താനുള്ള സാധ്യതയിലേക്ക് ഈ സവിശേഷത നയിക്കുന്നു. ഇതിനകം അനുവദിച്ച മെമ്മറിയിലുള്ള ഉള്ളടക്കങ്ങൾ പരിശോധിക്കാതെയാണ് BPF സ്റ്റാക്കിനായി പുതിയ മെമ്മറി അനുവദിച്ചിരിക്കുന്നത്, കൂടാതെ BPF പ്രോഗ്രാം ആരംഭിക്കുന്നതിന് മുമ്പ് BPF സ്റ്റാക്കിലേക്ക് അനുവദിക്കുന്ന മെമ്മറി ഏരിയയിലെ ഉള്ളടക്കങ്ങൾ നിയന്ത്രിക്കുന്നതിനുള്ള ഒരു മാർഗമുണ്ട്.

അവലംബം: opennet.ru