Naukowcy z Uniwersytetu Kalifornijskiego w San Diego zaprezentowali nową metodę atakowania struktur mikroarchitekturowych procesorów Intela, mającą zastosowanie m.in. w procesorach opartych na mikroarchitekturach Raptor Lake i Alder Lake. Atak o nazwie kodowej Indirector umożliwia zmianę spekulatywnego wykonywania instrukcji w innych procesach i na innych poziomach uprawnień (na przykład w jądrze lub innej maszynie wirtualnej) działających w tym samym wątku procesora, co kod atakującego. Aby zademonstrować działanie metody, przygotowano prototypowy exploit pozwalający określić układ adresów pamięci w celu ominięcia mechanizmu zabezpieczającego ASLR (Address Space Layout Randomization). Ponadto na licencji MIT opublikowano narzędzia opracowane do analizy i inżynierii wstecznej logiki mikroarchitektury procesora.
Zaproponowano dwie metody organizacji ataku. Pierwsza metoda polega na zniekształcaniu zawartości bufora IBP (Indirect Branch Predictor), który służy do przewidywania rozgałęzień pośrednich w warunkach, gdy adres lub przesunięcie gałęzi nie jest jeszcze znane i jest obliczane w instrukcjach poprzedzających instrukcję rozgałęzienia. Druga metoda wpływa na bufor docelowy gałęzi (BTB), który zawiera informacje o ostatnich gałęziach.
Zidentyfikowane podatności umożliwiają atakującemu ustalenie zawartości wpisów w buforach IBP i BTB zawierających adresy skoku wykorzystywane w procesach stron trzecich, a także podstawienie dowolnego adresu skoku do tabel danych bufora. W rezultacie osoba atakująca może osiągnąć przekierowanie wątku wykonawczego procesu strony trzeciej na żądany adres pamięci podczas spekulatywnego wykonywania instrukcji. Po ustaleniu błędnej predykcji wynik wykonania spekulatywnego zostanie odrzucony, natomiast adresy i dane odczytane z pamięci podczas spekulatywnego wykonania instrukcji trafią do pamięci podręcznej i będzie można je odzyskać za pomocą jednej z metod określania zawartości pamięci podręcznej na podstawie analizy zmian czasu dostępu do danych buforowanych i niezapisanych w pamięci podręcznej. Na przykład określenie dokładnych adresów skoków pośrednich w praktyce można wykorzystać do ominięcia mechanizmu zabezpieczającego ASLR.
Źródło: opennet.ru
