Retbleed Intel र AMD CPUs को सट्टा कार्यान्वयन संयन्त्रमा नयाँ आक्रमण हो।

ETH ज्यूरिखका अनुसन्धानकर्ताहरूको समूहले CPU मा अप्रत्यक्ष ट्रान्जिसनहरूको सट्टा कार्यान्वयनको संयन्त्रमा नयाँ आक्रमण पहिचान गरेको छ, जसले कर्नेल मेमोरीबाट जानकारी निकाल्न वा भर्चुअल मेसिनहरूबाट होस्ट प्रणालीमा आक्रमणलाई व्यवस्थित गर्न सम्भव बनाउँदछ। कमजोरीहरूलाई Retbleed (CVE-2022-29900, CVE-2022-29901) कोड नाम दिइएको छ र प्रकृतिमा Specter-v2 आक्रमणहरूको नजिक छ। भिन्नता "ret" (रिटर्न) निर्देशन प्रशोधन गर्दा मनमानी कोडको सट्टा कार्यान्वयनको संगठनमा आउँछ, जसले स्ट्याकबाट जम्प गर्न ठेगाना ल्याउँछ, "jmp" निर्देशन प्रयोग गरेर अप्रत्यक्ष जम्पको सट्टा, बाट ठेगाना लोड गर्दै। मेमोरी वा CPU दर्ता।

आक्रमणकारीले गलत ट्रान्जिसन भविष्यवाणीको लागि सर्तहरू सिर्जना गर्न सक्छ र कोडको ब्लकमा लक्षित, सट्टा संक्रमणलाई व्यवस्थित गर्न सक्छ जुन कार्यक्रम कार्यान्वयन तर्कद्वारा प्रदान गरिएको छैन। अन्ततः, प्रोसेसरले निर्धारण गर्नेछ कि शाखा भविष्यवाणी उचित थिएन र अपरेशनलाई यसको मूल स्थितिमा फिर्ता गर्नेछ, तर सट्टा कार्यान्वयनको क्रममा प्रशोधन गरिएको डाटा क्यास र माइक्रोआर्किटेक्चरल बफरहरूमा समाप्त हुनेछ। यदि त्रुटिपूर्ण रूपमा निष्पादित ब्लकले मेमोरीमा पहुँच गर्छ भने, त्यसको सट्टा कार्यान्वयनले साझा क्यासमा जम्मा हुने मेमोरीबाट डेटा पढ्ने नेतृत्व गर्दछ।

सट्टा कार्यहरू पछि क्यासमा बाँकी रहेको डाटा निर्धारण गर्न, आक्रमणकर्ताले अवशिष्ट डाटा निर्धारण गर्न साइड-च्यानल प्रविधिहरू प्रयोग गर्न सक्छ, जस्तै क्यास र अनक्यास डाटामा पहुँच समयहरूमा परिवर्तनहरू विश्लेषण गर्ने। उद्देश्यपूर्ण रूपमा अर्को विशेषाधिकार स्तरका क्षेत्रहरूबाट जानकारी निकाल्न (उदाहरणका लागि, कर्नेल मेमोरीबाट), "ग्याजेटहरू" प्रयोग गरिन्छ - कर्नेलमा अवस्थित आदेशहरूको अनुक्रमहरू जुन बाह्य अवस्थाहरूमा निर्भर गर्दै मेमोरीबाट डाटा अनुमानित रूपमा पढ्नको लागि उपयुक्त हुन्छ। आक्रमणकारी।

सशर्त र अप्रत्यक्ष जम्प निर्देशनहरू प्रयोग गर्ने क्लासिक स्पेक्टर क्लास आक्रमणहरूबाट जोगाउन, धेरै जसो अपरेटिङ सिस्टमहरूले "retpoline" प्रविधि प्रयोग गर्छन्, जुन अप्रत्यक्ष जम्प अपरेशनहरूलाई "ret" निर्देशनको साथ प्रतिस्थापन गर्नमा आधारित छ, जसका लागि प्रोसेसरहरूले छुट्टै स्ट्याक राज्य भविष्यवाणी एकाइ प्रयोग गर्छन्। शाखा भविष्यवाणी ब्लक प्रयोग गर्दैन। जब 2018 मा retpoline पेश गरिएको थियो, यो विश्वास गरिएको थियो कि स्पेक्टर-जस्तो ठेगाना हेरफेर "ret" निर्देशन प्रयोग गरेर सट्टा शाखाको लागि व्यावहारिक थिएन।

Retbleed आक्रमण विधि विकसित गर्ने शोधकर्ताहरूले "ret" निर्देशन प्रयोग गरेर सट्टा संक्रमण सुरु गर्न माइक्रोआर्किटेक्चरल अवस्थाहरू सिर्जना गर्ने सम्भावना प्रदर्शन गरे र लिनक्स कर्नेलमा भेद्यताको शोषण गर्नका लागि उपयुक्त निर्देशनहरू (ग्याजेटहरू) को अनुक्रमहरू पहिचान गर्नका लागि तयार-निर्मित उपकरणहरू प्रकाशित गरे। जसमा त्यस्ता अवस्थाहरू प्रकट हुन्छन्।

अनुसन्धानको क्रममा, एक कार्य शोषण तयार गरिएको थियो जसले इंटेल CPU हरू भएका प्रणालीहरूमा, प्रयोगकर्ता स्पेसमा 219 बाइट प्रति सेकेन्डको गति र 98% शुद्धतामा कर्नेल मेमोरीबाट मनमानी डाटा निकाल्न अनुमति दिन्छ। AMD प्रोसेसरहरूमा, शोषणको दक्षता धेरै उच्च छ - चुहावट दर 3.9 KB प्रति सेकेन्ड हो। व्यावहारिक उदाहरणको रूपमा, हामी /etc/shadow फाइलको सामग्री निर्धारण गर्न प्रस्तावित शोषण कसरी प्रयोग गर्ने भनेर देखाउँछौं। Intel CPUs भएका प्रणालीहरूमा, रूट प्रयोगकर्ता पासवर्ड ह्यास निर्धारण गर्ने आक्रमण २८ मिनेटमा, र AMD CPUs भएका प्रणालीहरूमा - ६ मिनेटमा।

Q6 8 (Skylake सहित), र Q3 2019 अघि रिलिज गरिएका Zen 1, Zen 1+ र Zen 2 माइक्रोआर्किटेक्चरमा आधारित AMD प्रोसेसरहरूको Intel प्रोसेसरहरूको 2021-3 पुस्ताका लागि आक्रमण पुष्टि भएको छ। नयाँ प्रोसेसर मोडेलहरू जस्तै AMD ZenXNUMX र Intel Alder Lake, साथै ARM प्रोसेसरहरूमा, समस्या अवस्थित सुरक्षा संयन्त्रहरूद्वारा अवरुद्ध गरिएको छ। उदाहरणका लागि, IBRS (Indirect Branch Restricted Speculation) निर्देशनहरू प्रयोग गरेर आक्रमणहरूबाट जोगाउन मद्दत गर्दछ।

लिनक्स कर्नेल र Xen हाइपरभाइजरका लागि परिवर्तनहरूको सेट तयार गरिएको छ, जसले पुरानो CPU हरूमा सफ्टवेयरमा समस्यालाई रोक्नेछ। लिनक्स कर्नेलको लागि प्रस्तावित प्याचले 68 फाइलहरू परिवर्तन गर्छ, 1783 लाइनहरू थप्छ, र 387 लाइनहरू मेटाउँछ। दुर्भाग्यवश, सुरक्षाले महत्त्वपूर्ण ओभरहेड लागतहरू निम्त्याउँछ - AMD र Intel प्रोसेसरहरूमा सञ्चालन गरिएका पाठहरूमा, प्रदर्शनमा कमी 14% देखि 39% सम्म अनुमान गरिएको छ। यो IBRS निर्देशनहरूमा आधारित सुरक्षा प्रयोग गर्न अधिक राम्रो छ, Intel CPUs को नयाँ पुस्ताहरूमा उपलब्ध छ र लिनक्स कर्नेल 4.19 बाट सुरु गर्न समर्थित छ।

Intel प्रोसेसरहरूमा, एक सट्टा अप्रत्यक्ष जम्पको लागि ठेगाना प्रतिस्थापन गरिन्छ जुन रिटर्न स्ट्याक बफरमा तल्लो बाउन्ड (अन्डरफ्लो) मार्फत ओभरफ्लो हुँदा देखा पर्ने सुविधाको लागि धन्यवाद। जब त्यस्ता अवस्थाहरू हुन्छन्, "ret" निर्देशनले ठेगाना चयन तर्क लागू गर्न सुरु गर्छ जुन सामान्य अप्रत्यक्ष जम्पहरूको लागि प्रयोग गरिन्छ। लिनक्स कर्नेलमा हजार भन्दा बढी ठाउँहरू फेला परेका छन् जसले यस्तो ब्याकफ्लो सुरु गर्नका लागि सर्तहरू सिर्जना गर्दछ र प्रणाली कलहरू मार्फत पहुँचयोग्य छ।

AMD प्रोसेसरहरूमा, "ret" निर्देशनको सट्टा कार्यान्वयन स्ट्याक-विशिष्ट बफर (रिटर्न ठेगाना स्ट्याक) को सन्दर्भ बिना गरिन्छ र शाखा भविष्यवाणी इकाईले "ret" निर्देशनलाई नियन्त्रण फिर्ताको रूपमा होइन, तर अप्रत्यक्ष शाखाको रूपमा मान्दछ। , र, तदनुसार, भविष्यवाणी अप्रत्यक्ष संक्रमणको लागि डाटा प्रयोग गर्दछ। यी सर्तहरूमा, प्रणाली कल मार्फत पहुँचयोग्य कुनै पनि "ret" अपरेशनको शोषण गर्न सकिन्छ।

थप रूपमा, काल्पनिक शाखाहरूको कार्यान्वयनसँग सम्बन्धित AMD CPUs (CVE-2022-23825, शाखा प्रकार कन्फ्युजन) मा अर्को मुद्दा पनि पहिचान गरिएको छ - शाखा भविष्यवाणीका लागि सर्तहरू आवश्यक शाखा निर्देशनहरू बिना पनि हुन सक्छ, जसले शाखा भविष्यवाणी बफरलाई प्रभाव पार्न अनुमति दिन्छ। निर्देशन बिना "ret"। यो सुविधाले सुरक्षाको कार्यान्वयनलाई महत्त्वपूर्ण रूपमा जटिल बनाउँछ र शाखा भविष्यवाणी बफरको थप सक्रिय सफाई आवश्यक पर्दछ। कर्नेलमा पूर्ण सुरक्षा थप्दा ओभरहेड २०९% ले वृद्धि हुने अपेक्षा गरिएको छ।

स्रोत: opennet.ru