Badacze z Uniwersytetu Kalifornijskiego w San Diego zaprezentowali nową metodę ataku na mikroarchitektoniczne struktury procesorów Intel, która ma zastosowanie m.in. do CPU opartych na mikroarchitekturach Raptor Lake i Alder Lake. Atak, który otrzymał kodową nazwę Indirector, umożliwia zmianę przebiegu spekulacyjnego wykonania instrukcji w innych procesach i na innych poziomach uprawnień (np. w jądrze lub innej maszynie wirtualnej), które są wykonywane w tym samym wątku CPU z kodem atakującego. W celu demonstrowania działania metody przygotowano prototyp exploita, który pozwala określić układ adresów pamięci, aby obejść mechanizm ochrony ASLR (Address Space Layout Randomization). Dodatkowo, pod licencją MIT opublikowano narzędzie opracowane do analizy i inżynierii odwrotnej logiki mikroarchitektury CPU.
Zaproponowano dwie metody organizacji ataku. Pierwsza metoda opiera się na zniekształceniu zawartości bufora prognozowania przejść pośrednich IBP (Indirect Branch Predictor), używanego do prognozowania przejść pośrednich w sytuacjach, gdy adres lub przesunięcie dla przejścia jeszcze nie są znane i są obliczane w instrukcjach poprzedzających instrukcję przejścia. Druga metoda dotyczy bufora prognozowania przejść BTB (Branch Target Buffer), który zawiera informacje o ostatnich przejściach.
Wykryte luki umożliwiają atakującemu określenie zawartości wpisów w buforach IBP i BTB, zawierających adresy przejść używane w zewnętrznych procesach, a także dokonanie podmiany dowolnego adresu przejścia w tabelach danych buforów. W rezultacie atakujący może osiągnąć przekierowanie strumienia wykonania zewnętrznego procesu na pożądany adres w pamięci w trakcie spekulacyjnego wykonywania instrukcji. Po określeniu błędnego prognozy wynik spekulacyjnego wykonania zostanie odrzucony, ale adresy i dane odczytane z pamięci w trakcie spekulacyjnego wykonywania instrukcji osiedlą się w pamięci podręcznej, a ich można będzie wydobyć, korzystając z jednego z sposobów na określenie zawartości pamięci podręcznej na podstawie analizy zmiany czasu dostępu do danych w pamięci podręcznej i nie w pamięci podręcznej. Określenie dokładnych adresów pośrednich przejść w praktyce można wykorzystać na przykład do obejścia mechanizmu ochrony ASLR.
Źródło: opennet.ru
