{"id":104644,"date":"2022-07-13T15:36:38","date_gmt":"2022-07-13T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd"},"modified":"2022-07-13T15:36:38","modified_gmt":"2022-07-13T13:36:38","slug":"retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","title":{"rendered":"Retbleed \u2013 een nieuwe aanval op de speculatieve uitvoeringsmechanismus van CPU's van Intel en AMD","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Een groep onderzoekers van de ETH Z\u00fcrich heeft een nieuwe aanvalsmethode ontdekt op de speculatieve uitvoering van indirecte sprongen in CPU's, waarmee informatie uit de kernelgeheugen kan worden gehaald of een aanval op het host-systeem vanuit virtuele machines kan worden georganiseerd. De kwetsbaarheden zijn gecodeerd als Retbleed (CVE-2022-29900, CVE-2022-29901) en zijn qua aard vergelijkbaar met de Spectre-v2 aanvallen. Het verschil ligt in de organisatie van de speculatieve uitvoering van willekeurige code bij het verwerken van de instructie 'ret' (return), die een adres voor sprongen uit de stack haalt, in plaats van een indirecte sprong met de instructie 'jmp' bij het laden van het adres uit het geheugen of de CPU-registers. <\/p>\n
Een aanvaller kan omstandigheden cre\u00ebren voor een onjuiste sprongvoorspelling en een gerichte speculatieve sprong naar een blok code organiseren dat niet is voorzien door de programmaloogica. Uiteindelijk zal de processor vaststellen dat de takvoorspelling niet klopt en de operatie terugdraaien naar de oorspronkelijke staat, maar de gegevens die tijdens de speculatieve uitvoering zijn verwerkt, blijven in de cache en microarchitecturale buffers hangen. Als het onjuist uitgevoerde blok geheugen aanroept, zal zijn speculatieve uitvoering resulteren in gegevens in de algemene cache die uit het geheugen zijn gelezen. <\/p>\n
Om gegevens die in de cache zijn achtergebleven na de speculatieve uitvoering van bewerkingen te identificeren, kan de aanvaller methoden gebruiken om restgegevens via zijkanalen te bepalen, bijvoorbeeld door de toegangstijden tot gecachede en niet-gecachede gegevens te analyseren. Voor gerichte extractie van informatie uit gebieden met een ander privilegesniveau (bijvoorbeeld uit kernelgeheugen) worden 'gadgets' gebruikt - sequenties van instructies die aanwezig zijn in de kernel en geschikt zijn voor speculatief lezen van gegevens uit geheugen, afhankelijk van externe omstandigheden waarop de aanvaller invloed kan uitoefenen. <\/p>\n
Om zich te beschermen tegen klassieke Spectre-aanvallen, waarbij gebruik wordt gemaakt van instructies voor voorwaardelijke en indirecte sprongen, wordt in de meeste besturingssystemen de techniek 'retpoline' toegepast, gebaseerd op de vervanging van indirecte sprongoperaties door de instructie 'ret', waarvoor een aparte stackvoorspellingsmodule in de processors wordt gebruikt, die geen gebruik maakt van de sprongvoorspellingsmodule. Bij de implementatie van retpoline in 2018 werd aangenomen dat soortgelijke adresmanipulaties zoals bij Spectre niet praktisch toepasbaar zouden zijn voor speculatieve sprongen met de instructie 'ret'. <\/p>\n
Onderzoekers die de Retbleed-aanvalsmethode hebben ontwikkeld, hebben aangetoond dat het mogelijk is om micro-architecturale omstandigheden te cre\u00ebren voor het initi\u00ebren van een speculatieve sprong met de instructie 'ret' en hebben een toolkit gepubliceerd voor het identificeren van in de Linux-kernel geschikte gadgets van instructie-sequenties die kwetsbaarheden bevatten en waarin dergelijke omstandigheden zich manifesteren. <\/p>\n
Tijdens het onderzoek is een werkende exploit ontwikkeld die op systemen met een Intel CPU vanuit een niet-bevoorrecht proces in de gebruikersruimte willekeurige gegevens uit het kerngeheugen kan extraheren met een snelheid van 219 bytes per seconde en een nauwkeurigheid van 98%. Bij AMD-processoren is de effectiviteit van de exploit veel hoger \u2014 de uitleessnelheid bedraagt 3,9 KB per seconde. Als praktisch voorbeeld wordt getoond hoe de voorgestelde exploit kan worden gebruikt om de inhoud van het bestand \/etc\/shadow te bepalen. Op systemen met een Intel CPU werd de aanval om de hash van het rootwachtwoord te achterhalen in 28 minuten uitgevoerd, terwijl dit op systemen met een AMD CPU slechts 6 minuten duurde.
\r\n \r\n
<\/div>\r\n <\/div><\/center> <\/p>\n
De mogelijkheid om de aanval uit te voeren is bevestigd voor de 6e tot 8e generatie Intel-processoren, die werden geproduceerd tot het derde kwartaal van 2019 (inclusief Skylake), en AMD-processoren op basis van de microarchitecturen Zen 1, Zen 1+ en Zen 2, die werden geproduceerd tot het tweede kwartaal van 2021. In nieuwere modellen, zoals de AMD Zen3 en Intel Alder Lake, evenals in ARM-processoren, wordt het probleem geblokkeerd door de bestaande beschermingsmechanismen. Bijvoorbeeld, het gebruik van de IBRS-instructies (Indirect Branch Restricted Speculation) helpt om zich te beschermen tegen de aanval. <\/p>\n
Voor de Linux-kernel en de hypervisor Xen is een set wijzigingen voorbereid die op oude CPU's het probleem op softwarematige wijze blokkeert. De voorgestelde patch voor de Linux-kernel verandert 68 bestanden, voegt 1783 regels toe en verwijdert 387 regels. Helaas heeft de bescherming aanzienlijke overheadkosten tot gevolg \u2014 in de uitgevoerde tests op AMD- en Intel-processoren werd de prestatievermindering geschat tussen 14% en 39%. Een voorkeur heeft de bescherming op basis van de IBRS-instructies, die beschikbaar zijn in nieuwe generaties Intel CPU's en ondersteund worden vanaf Linux-kernel 4.19. <\/p>\n
Op Intel-processoren wordt het invoegen van adressen voor speculatieve indirecte sprongen mogelijk gemaakt door een eigenschap die zich manifesteert bij een onderloop in de Return Stack Buffer. Wanneer dergelijke omstandigheden zich voordoen, wordt voor de instructie 'ret' een logica voor adresskeuze toegepast die vergelijkbaar is met die voor gewone indirecte sprongen. In de Linux-kernel zijn meer dan duizend plekken gevonden die voorwaarden cre\u00ebren voor het initi\u00ebren van dergelijke omgekeerde onderlopen en toegankelijk zijn via systeemaanroepen. <\/p>\n
Op AMD-processoren wordt de speculatieve uitvoering van de 'ret'-instructie uitgevoerd zonder binding aan een specifieke stackbuffer (Return Address Stack) en de sprongvoorspellingseenheid beschouwt de 'ret'-instructie niet als een terugkeer van controle, maar als een indirecte sprong. Dienovereenkomstig gebruikt het voorspellingsdata voor indirecte sprongen. Onder dergelijke omstandigheden kan feitelijk elke 'ret'-operatie, bereikbaar via een systeemaanroep, worden gebruikt voor exploitatie. <\/p>\n
Daarnaast is er ook een ander probleem in de AMD CPU ontdekt (CVE-2022-23825, Branch Type Confusion), dat verband houdt met het uitvoeren van fictieve overgangen \u2014 de voorwaarden voor het voorspellen van een overgang kunnen zich zelfs voordoen zonder de benodigde takinstructies, waardoor invloed kan worden uitgeoefend op de buffer voor het voorspellen van overgangen zonder de instructie 'ret'. Deze eigenschap complicates de implementatie van beveiliging aanzienlijk en vereist een actievere opschoning van de buffer voor het voorspellen van overgangen. Verwacht wordt dat de toevoeging van volledige bescherming in de kern zal leiden tot een toename van de overhead met 209%. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Video](\"https:\/\/img.youtube.com\/vi\/dmSPvJxPm80\/hqdefault.jpg\")
\r\n