Retbleed हा इंटेल आणि AMD CPU च्या सट्टेबाज अंमलबजावणी यंत्रणेवर एक नवीन हल्ला आहे.

ETH झुरिचमधील संशोधकांच्या गटाने CPU मधील अप्रत्यक्ष संक्रमणांच्या सट्टा अंमलबजावणीच्या यंत्रणेवर एक नवीन हल्ला ओळखला आहे, ज्यामुळे कर्नल मेमरीमधून माहिती काढणे किंवा व्हर्च्युअल मशीनवरून होस्ट सिस्टमवर हल्ला आयोजित करणे शक्य होते. भेद्यतेला रेटब्लीड (CVE-2022-29900, CVE-2022-29901) असे सांकेतिक नाव दिले जाते आणि ते Specter-v2 हल्ल्यांच्या जवळ आहेत. फरक हा "ret" (रिटर्न) निर्देशांवर प्रक्रिया करताना अनियंत्रित कोडच्या सट्टा अंमलबजावणीच्या संस्थेमध्ये येतो, जो स्टॅकवरून उडी मारण्यासाठी पत्ता आणतो, अप्रत्यक्ष उडीऐवजी "jmp" सूचना वापरून, येथून पत्ता लोड करतो मेमरी किंवा CPU रजिस्टर.

आक्रमणकर्ता चुकीच्या संक्रमणाच्या अंदाजासाठी परिस्थिती निर्माण करू शकतो आणि प्रोग्राम एक्झिक्यूशन लॉजिकद्वारे प्रदान केलेल्या कोडच्या ब्लॉकमध्ये लक्ष्यित, सट्टा संक्रमण आयोजित करू शकतो. शेवटी, प्रोसेसर निश्चित करेल की शाखेचा अंदाज न्याय्य नव्हता आणि ऑपरेशनला त्याच्या मूळ स्थितीत परत आणेल, परंतु सट्टा अंमलबजावणी दरम्यान प्रक्रिया केलेला डेटा कॅशे आणि मायक्रोआर्किटेक्चरल बफरमध्ये संपेल. जर चुकून अंमलात आणलेला ब्लॉक मेमरीमध्ये प्रवेश करत असेल, तर त्याच्या सट्टा अंमलबजावणीमुळे मेमरीमधून वाचलेला डेटा शेअर केलेल्या कॅशेमध्ये जमा केला जाईल.

सट्टा ऑपरेशन्सनंतर कॅशेमध्ये उरलेला डेटा निर्धारित करण्यासाठी, आक्रमणकर्ता अवशिष्ट डेटा निर्धारित करण्यासाठी साइड-चॅनल तंत्रांचा वापर करू शकतो, जसे की कॅशे केलेल्या आणि अनकॅशेड डेटामध्ये प्रवेश वेळेतील बदलांचे विश्लेषण करणे. दुसऱ्या विशेषाधिकार स्तरावरील क्षेत्रांमधून हेतुपुरस्सर माहिती काढण्यासाठी (उदाहरणार्थ, कर्नल मेमरीमधून), "गॅझेट्स" वापरले जातात - कर्नलमध्ये उपस्थित असलेल्या आदेशांचे अनुक्रम जे बाह्य परिस्थितींवर अवलंबून असलेल्या मेमरीमधून डेटा सट्टा वाचण्यासाठी योग्य आहेत. हल्लेखोर.

सशर्त आणि अप्रत्यक्ष उडी सूचना वापरणाऱ्या क्लासिक स्पेक्टर क्लासच्या हल्ल्यांपासून संरक्षण करण्यासाठी, बहुतेक ऑपरेटिंग सिस्टम "रेटपोलाइन" तंत्र वापरतात, जे अप्रत्यक्ष जंप ऑपरेशन्सच्या जागी "रेट" निर्देशांवर आधारित असते, ज्यासाठी प्रोसेसर स्वतंत्र स्टॅक स्टेट प्रेडिक्शन युनिट वापरतात. शाखा अंदाज ब्लॉक वापरत नाही. 2018 मध्ये जेव्हा retpoline सादर करण्यात आली तेव्हा असे मानले जात होते की स्पेक्टर सारखी ॲड्रेस मॅनिपुलेशन हे “ret” सूचना वापरून सट्टा शाखांसाठी व्यावहारिक नव्हते.

Retbleed हल्ला पद्धत विकसित करणाऱ्या संशोधकांनी “ret” सूचना वापरून सट्टा संक्रमण सुरू करण्यासाठी मायक्रोआर्किटेक्चरल परिस्थिती निर्माण करण्याची शक्यता दाखवून दिली आणि Linux कर्नलमधील भेद्यतेचे शोषण करण्यासाठी योग्य निर्देशांचे (गॅझेट्स) अनुक्रम ओळखण्यासाठी तयार केलेली साधने प्रकाशित केली, ज्यामध्ये अशा परिस्थिती प्रकट होतात.

संशोधनादरम्यान, एक कार्यरत शोषण तयार केले गेले जे इंटेल CPU सह सिस्टीमवर, 219 बाइट्स प्रति सेकंद आणि 98% अचूकतेने वापरकर्ता स्पेसमधील अनप्रिव्हिलेज्ड प्रक्रियेतून कर्नल मेमरीमधून अनियंत्रित डेटा काढू देते. AMD प्रोसेसरवर, शोषणाची कार्यक्षमता खूप जास्त आहे — गळती दर 3.9 KB प्रति सेकंद आहे. एक व्यावहारिक उदाहरण म्हणून, आम्ही /etc/shadow फाइलची सामग्री निर्धारित करण्यासाठी प्रस्तावित शोषण कसे वापरायचे ते दाखवतो. इंटेल सीपीयू असलेल्या सिस्टमवर, रूट वापरकर्ता पासवर्ड हॅश निश्चित करण्यासाठी हल्ला 28 मिनिटांत केला गेला आणि एएमडी सीपीयू असलेल्या सिस्टमवर - 6 मिनिटांत.

Q6 8 पूर्वी रिलीझ झालेल्या Intel प्रोसेसरच्या 3-2019 पिढ्यांसाठी (स्कायलेकसह) आणि Q1 1 पूर्वी रिलीज झालेल्या Zen 2, Zen 2021+ आणि Zen 3 मायक्रोआर्किटेक्चरवर आधारित AMD प्रोसेसरसाठी हल्ल्याची पुष्टी झाली आहे. नवीन प्रोसेसर मॉडेल्स जसे की AMD ZenXNUMX आणि Intel Alder Lake, तसेच ARM प्रोसेसरमध्ये, समस्या विद्यमान संरक्षण यंत्रणेद्वारे अवरोधित केली जाते. उदाहरणार्थ, IBRS (Indirect Branch Restricted Speculation) सूचना वापरणे हल्ल्यांपासून संरक्षण करण्यात मदत करते.

Linux कर्नल आणि Xen हायपरवाइजरसाठी बदलांचा एक संच तयार केला गेला आहे, जे जुन्या CPU वरील सॉफ्टवेअरमधील समस्या अवरोधित करेल. लिनक्स कर्नलसाठी प्रस्तावित पॅच 68 फाइल्स बदलते, 1783 ओळी जोडते आणि 387 ओळी हटवते. दुर्दैवाने, संरक्षणामुळे महत्त्वपूर्ण ओव्हरहेड खर्च होतो - एएमडी आणि इंटेल प्रोसेसरवर आयोजित केलेल्या ग्रंथांमध्ये, कामगिरी कमी होण्याचा अंदाज 14% ते 39% पर्यंत आहे. IBRS सूचनांवर आधारित संरक्षण वापरणे अधिक श्रेयस्कर आहे, जे Intel CPUs च्या नवीन पिढ्यांमध्ये उपलब्ध आहे आणि Linux kernel 4.19 पासून समर्थित आहे.

इंटेल प्रोसेसरवर, रिटर्न स्टॅक बफरमध्ये लोअर बाउंड (अंडरफ्लो) मधून ओव्हरफ्लो होतो तेव्हा दिसणाऱ्या वैशिष्ट्यामुळे सट्टा अप्रत्यक्ष उडीसाठी पत्ता बदलला जातो. जेव्हा अशा परिस्थिती उद्भवतात, तेव्हा "ret" सूचना सामान्य अप्रत्यक्ष उडींसाठी वापरल्या जाणाऱ्या पत्त्याच्या निवडीचे तर्क लागू करण्यास सुरवात करते. लिनक्स कर्नलमध्ये हजाराहून अधिक ठिकाणे आढळली आहेत जी अशा बॅकफ्लो सुरू करण्यासाठी परिस्थिती निर्माण करतात आणि सिस्टम कॉलद्वारे प्रवेशयोग्य आहेत.

एएमडी प्रोसेसरवर, स्टॅक-विशिष्ट बफर (रिटर्न ॲड्रेस स्टॅक) च्या संदर्भाशिवाय “ret” निर्देशांची सट्टा अंमलात आणली जाते आणि शाखा अंदाज युनिट “ret” सूचना नियंत्रण परतावा म्हणून नाही तर अप्रत्यक्ष शाखा म्हणून मानते. , आणि, त्यानुसार, अंदाज अप्रत्यक्ष संक्रमणांसाठी डेटा वापरते. या परिस्थितीत, सिस्टम कॉलद्वारे पोहोचण्यायोग्य कोणत्याही "रिट" ऑपरेशनचा गैरफायदा घेतला जाऊ शकतो.

या व्यतिरिक्त, काल्पनिक शाखांच्या अंमलबजावणीशी संबंधित AMD CPUs (CVE-2022-23825, शाखा प्रकार गोंधळ) मध्ये आणखी एक समस्या देखील ओळखली गेली आहे - आवश्यक शाखा निर्देशांशिवाय देखील शाखा भविष्यवाणीसाठी परिस्थिती उद्भवू शकते, ज्यामुळे शाखा अंदाज बफरवर प्रभाव पडतो. "ret" सूचनेशिवाय. हे वैशिष्ट्य संरक्षणाची अंमलबजावणी लक्षणीयरीत्या गुंतागुंतीचे करते आणि शाखा अंदाज बफरची अधिक सक्रिय साफसफाईची आवश्यकता असते. कर्नलमध्ये पूर्ण संरक्षण जोडल्याने ओव्हरहेड 209% ने वाढण्याची अपेक्षा आहे.

स्त्रोत: opennet.ru