{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2014 nieuwe varianten van de Spectre-v2 aanval, van invloed op Intel CPU's.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Een groep onderzoekers van de Vrije Universiteit Amsterdam heeft verschillende nieuwe kwetsbaarheden van de Spectre-v2 categorie ontdekt, gepubliceerd onder de codenaam Training Solo, die in staat zijn om de geheugenisolatiemechanismen te omzeilen. In de context van virtualisatiesystemen maken deze kwetsbaarheden het mogelijk om de inhoud van het geheugen van de hostomgeving te bepalen vanuit gastsystemen, en in de context van servers om de inhoud van het kerngeheugen te bepalen tijdens de uitvoering van een exploit in de gebruikersruimte. Voorbeelden van exploits om dergelijke aanvallen uit te voeren zijn gepubliceerd op GitHub. De gepresenteerde exploits stellen in staat om willekeurige gegevens uit het kerngeheugen te extraheren met een snelheid van 17 KB\/sec, en vanuit het geheugen van de hypervisor - 8.5 KB\/sec. <\/p>\n
Bij Spectre-v2 aanvallen wordt voor het veroorzaken van datalekken de substitutie van waarden in de Branch Target Buffer of Branch History Buffer gebruikt, die worden toegepast voor de voorspelling van de volgende takoperatie. Door manipulatie van de takgeschiedenis worden condities gecre\u00eberd voor een onjuiste voorspelling van de tak tijdens het speculatieve uitvoering van instructies. Het doel van de aanvaller is om bij het uitvoeren van een speculatieve takoperatie het adres voor de tak uit het gewenste geheugengebied te halen. Na de uitvoering van de speculatieve tak blijft het adres dat uit het geheugen is gelezen in de procescache (onder de vorm van een adres worden de noodzakelijke gegevens voor de aanvaller uit het geheugen gelezen). Een van de methoden voor het extraheren van informatie uit de cache kan de bepaling van de inhoud van de cache zijn op basis van de analyse van de toegangstijden tot gecacheerde en niet-gecacheerde gegevens. <\/p>\n
De aanvalsmethoden van Training Solo zijn gericht op het omzeilen van de mechanismen voor het isoleren van uitvoeringsgebieden (domain isolation), zoals IBPB, eIBRS en BHI_NO, die worden gebruikt om aanvallen van de Spectre-v2 categorie te blokkeren. Bijvoorbeeld, de IBPB-instructie (Indirect Branch Prediction Barriers) zorgt voor het resetten van de toestand van de voorspellingseenheid bij elke contextwissel - bij het overdragen van de controle tussen de gebruikersruimte en de kernel of tussen het gastensysteem en de hostomgeving. Het resetten van de toestand blokkeert de mogelijkheid om eigen code te gebruiken om de werking van de voorspellingseenheid voor indirecte overgangen te be\u00efnvloeden. <\/p>\n
De verschillen tussen de Training Solo-methoden zijn dat er wordt voorgesteld om geen code, die onder controle van de aanvaller staat, te starten om de blokkerende voorspellingsovergangen te be\u00efnvloeden, maar gebruik te maken van code die al aanwezig is aan de kant van de bevoegde uitvoeringsomgeving (kernel of hypervisor), waarvan de aanvaller lekken probeert te verkrijgen. Verder lijken de methoden op de klassieke Spectre-v2-aanval. Bovendien hebben onderzoekers twee hardwareproblemen ontdekt (CVE-2024-28956 en CVE-2025-24495), die het mogelijk maken om isolatie van uitvoeringsgebieden volledig te omzeilen en lekken uit de processen van andere gebruikers, andere gastsystemen of hostomgevingen te realiseren.
<\/center> <\/p>\n
Er zijn drie soorten Training Solo-aanvallen voorgesteld: <\/p>\n
\n
Vervorming van de logica van de voorspellingsovergangen door het aanroepen van al bestaande commando-reeksen (gadgets) in de kernel, die de inhoud van de overgangsverificatiebuffer be\u00efnvloeden. Als dergelijke gadgets wordt voorgesteld om het mechanisme voor toegangslimieten tot systeemaanroepen SECCOMP te gebruiken, dat door zijn eigen BPF-filters te substitueren een valse indirecte overgang kan bewerkstelligen in de speculatieve modus (filters in SECCOMP worden ingesteld met behulp van de klassieke cBPF, die standaard is ingeschakeld in tegenstelling tot eBPF). Bij tests op CPUs zoals Intel Tiger Lake en Lion Cove bedroeg de snelheid van het lekken met deze methode 1.7 KB\/sec.\n
Het gebruik van IP-collisies (Instruction Pointer) in het blok voor de voorspellingsovergangen. De aanvaller kan omstandigheden cre\u00ebren waarbij het adres voor de speculatieve overgang alleen wordt geselecteerd op basis van het al aanwezige overgangsadres in de buffer, zonder rekening te houden met de geschiedenis van de overgangen. Het idee is dat \u00e9\u00e9n indirecte overgang een andere kan be\u00efnvloeden, als er een collisie optreedt bij het opslaan van de hashes van hun adressen in de BTB (Branch Target Buffer).\n
Het gebruik van de invloed van directe overgangen op de voorspelling van indirecte overgangen. Dit gedrag wordt veroorzaakt door twee hardwarekwetsbaarheden: CVE-2024-28956 - ITS (Indirect Target Selection) en CVE-2025-24495 - een probleem in Intel CPU's met Lion Cove-kernen. De snelheid van gegevenslekken uit het geheugen bij het gebruik van deze methode was 17 KB\/sec. In de gedemonstreerde exploit voor het bepalen van de hash van het gebruikerswachtwoord 'root', opgeslagen in het geheugen na het oproepen van het commando \u2018passwd -s\u2019, was er 60 seconden nodig. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n