{"id":104644,"date":"2022-07-13T15:36:38","date_gmt":"2022-07-13T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd"},"modified":"2022-07-13T15:36:38","modified_gmt":"2022-07-13T13:36:38","slug":"retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","title":{"rendered":"Retbleed \u2014 nowa atak na mechanizm spekulacyjnego wykonania CPU Intel i AMD","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Grupa badawcza z Federalnej Politechniki Norymberskiej w Zurychu zidentyfikowa\u0142a nowy wariant ataku na mechanizm spekulatywnego wykonywania po\u015brednich przej\u015b\u0107 w CPU, kt\u00f3ry pozwala na wydobywanie informacji z pami\u0119ci j\u0105dra lub przeprowadzanie atak\u00f3w na system gospodarza z maszyn wirtualnych. Luki te otrzyma\u0142y kodowe nazwy Retbleed (CVE-2022-29900, CVE-2022-29901) i s\u0105 zbli\u017cone do atak\u00f3w Spectre-v2. R\u00f3\u017cnica polega na organizacji spekulatywnego wykonywania dowolnego kodu podczas przetwarzania instrukcji «ret» (return), kt\u00f3ra wydobywa adres przej\u015bcia ze stosu, zamiast po\u015bredniego przej\u015bcia za pomoc\u0105 instrukcji «jmp» z za\u0142adowaniem adresu z pami\u0119ci lub rejestru CPU. <\/p>\n
Atakuj\u0105cy mo\u017ce stworzy\u0107 warunki do b\u0142\u0119dnego przewidywania przej\u015bcia i zorganizowa\u0107 celowe spekulacyjne przej\u015bcie do bloku kodu, kt\u00f3ry nie jest przewidziany w logice wykonywania programu. Ostatecznie procesor ustali, \u017ce przewidywanie rozga\u0142\u0119zienia si\u0119 nie powiod\u0142o i cofn\u0119 operacj\u0119 do pierwotnego stanu, jednak dane przetwarzane podczas spekulacyjnego wykonywania pozostan\u0105 w pami\u0119ci podr\u0119cznej i buforach mikroarchitektury. Je\u015bli b\u0142\u0119dnie wykonany blok uzyskuje dost\u0119p do pami\u0119ci, jego spekulacyjne wykonywanie doprowadzi do osadzenia w og\u00f3lnej pami\u0119ci podr\u0119cznej i danych odczytanych z pami\u0119ci. <\/p>\n
Aby okre\u015bli\u0107 dane, kt\u00f3re pozosta\u0142y w pami\u0119ci podr\u0119cznej po spekulatywnym wykonywaniu operacji, atakuj\u0105cy mo\u017ce wykorzysta\u0107 metody okre\u015blania pozosta\u0142ych danych za pomoc\u0105 zewn\u0119trznych kana\u0142\u00f3w, na przyk\u0142ad analizuj\u0105c zmiany czasu dost\u0119pu do danych w pami\u0119ci podr\u0119cznej i nie w pami\u0119ci podr\u0119cznej. Do celowego wydobywania informacji z obszar\u00f3w na innym poziomie uprawnie\u0144 (na przyk\u0142ad z pami\u0119ci j\u0105dra) wykorzystywane s\u0105 «gad\u017cety» — sekwencje polece\u0144 obecnych w j\u0105drze, kt\u00f3re nadaj\u0105 si\u0119 do spekulatywnego odczytu danych z pami\u0119ci w zale\u017cno\u015bci od zewn\u0119trznych warunk\u00f3w, na kt\u00f3re mo\u017ce wp\u0142ywa\u0107 atakuj\u0105cy. <\/p>\n
Aby chroni\u0107 si\u0119 przed klasycznymi atakami klasy Spectre, w kt\u00f3rych wykorzystywane s\u0105 instrukcje warunkowe i po\u015brednie przej\u015bcia, w wi\u0119kszo\u015bci system\u00f3w operacyjnych stosuje si\u0119 technik\u0119 «retpoline», opart\u0105 na zast\u0105pieniu operacji po\u015bredniego przej\u015bcia instrukcj\u0105 «ret», dla kt\u00f3rej w procesorach zastosowano oddzielny blok przewidywania stanu stosu, nie wykorzystuj\u0105cy bloku przewidywania przej\u015b\u0107. Przy wdra\u017caniu retpoline w 2018 roku uwa\u017cano, \u017ce manipulacje adresami podobne do Spectre nie s\u0105 praktycznie stosowane do spekulatywnego przej\u015bcia za pomoc\u0105 instrukcji «ret». <\/p>\n
Badacze, kt\u00f3rzy opracowali metod\u0119 ataku Retbleed, zademonstrowali mo\u017cliwo\u015b\u0107 stworzenia mikroarchitektonicznych warunk\u00f3w do inicjacji spekulatywnego przej\u015bcia za pomoc\u0105 instrukcji «ret» i opublikowali gotowy zestaw narz\u0119dzi do identyfikacji w j\u0105drze Linux odpowiednich do eksploatacji sekwencji instrukcji (gad\u017cet\u00f3w), w kt\u00f3rych manifestuj\u0105 si\u0119 podobne warunki. <\/p>\n
W trakcie badania opracowano dzia\u0142aj\u0105cy exploit, kt\u00f3ry pozwala na systemach z CPU Intel wydobywa\u0107 dowolne dane z pami\u0119ci j\u0105dra z przestrzeni u\u017cytkownika z pr\u0119dko\u015bci\u0105 219 bajt\u00f3w na sekund\u0119 i dok\u0142adno\u015bci\u0105 98%. Na procesorach AMD efektywno\u015b\u0107 exploit jest znacznie wy\u017csza \u2014 szybko\u015b\u0107 wycieku wynosi 3,9 KB na sekund\u0119. Jako praktyczny przyk\u0142ad pokazano, jak za pomoc\u0105 proponowanego exploita okre\u015bli\u0107 zawarto\u015b\u0107 pliku \/etc\/shadow. Na systemach z CPU Intel atak w celu okre\u015blenia hashu has\u0142a u\u017cytkownika root zosta\u0142 przeprowadzony w ci\u0105gu 28 minut, a na systemach z CPU AMD \u2014 w ci\u0105gu 6 minut.
\r\n \r\n
<\/div>\r\n <\/div><\/center> <\/p>\n
Mo\u017cliwo\u015b\u0107 przeprowadzenia ataku zosta\u0142a potwierdzona dla procesor\u00f3w Intel 6-8 generacji, produkowanych do trzeciego kwarta\u0142u 2019 roku (w tym Skylake), oraz procesor\u00f3w AMD opartych na mikroarchitekturze Zen 1, Zen 1+ i Zen 2, produkowanych do drugiego kwarta\u0142u 2021 roku. W nowszych modelach procesor\u00f3w, takich jak AMD Zen3 i Intel Alder Lake, a tak\u017ce w procesorach ARM, problem jest blokowany przez istniej\u0105ce mechanizmy ochrony. Na przyk\u0142ad zastosowanie instrukcji IBRS (Indirect Branch Restricted Speculation) pomaga chroni\u0107 przed atakiem. <\/p>\n
Dla j\u0105dra Linux oraz hyperwizora Xen opracowano zestaw zmian, kt\u00f3re na starych CPU blokuj\u0105 problem programowo. Proponowana \u0142atka dla j\u0105dra Linux zmienia 68 plik\u00f3w, dodaje 1783 linijki i usuwa 387 linijek. Niestety, ochrona prowadzi do znacznych koszt\u00f3w dodatkowych \u2014 w przeprowadzonych testach na procesorach AMD i Intel spadek wydajno\u015bci oceniono na od 14% do 39%. Bardziej preferowane jest zastosowanie ochrony opartej na instrukcjach IBRS, dost\u0119pnych w nowych generacjach CPU Intel, wspieranych od j\u0105dra Linux 4.19. <\/p>\n
Na procesorach Intel podstawienie adresu dla spekulatywnego przej\u015bcia po\u015bredniego jest realizowane dzi\u0119ki cechy, kt\u00f3ra pojawia si\u0119 przy przepe\u0142nieniu przez doln\u0105 granic\u0119 (underflow) w buforze przewidywania zawarto\u015bci stosu (Return Stack Buffer). W przypadku wyst\u0105pienia takich warunk\u00f3w logika wyboru adresu dla instrukcji \u201eret\u201d zaczyna stosowa\u0107 logik\u0119 podobn\u0105 do tej, kt\u00f3ra jest u\u017cywana w przypadku zwyk\u0142ych przej\u015b\u0107 po\u015brednich. W j\u0105drze Linux znaleziono ponad tysi\u0105c miejsc, kt\u00f3re tworz\u0105 warunki do inicjowania takiego odwrotnego przepe\u0142nienia, dost\u0119pnych poprzez wywo\u0142ania systemowe. <\/p>\n
Na procesorach AMD spekulatywne wykonanie instrukcji \u201eret\u201d odbywa si\u0119 bez przywi\u0105zania do specyficznego dla stosu bufora (Return Address Stack), a blok przewidywania przej\u015b\u0107 traktuje instrukcj\u0119 \u201eret\u201d nie jako powr\u00f3t kontroli, lecz jako przej\u015bcie po\u015brednie, a w zwi\u0105zku z tym u\u017cywa danych do przewidywania przej\u015b\u0107 po\u015brednich. W takich warunkach faktycznie ka\u017cda operacja \u201eret\u201d, osi\u0105galna poprzez wywo\u0142anie systemowe, mo\u017ce by\u0107 wykorzystywana do eksploatacji. <\/p>\n
Dodatkowo, w procesorach AMD wykryto jeszcze jeden problem (CVE-2022-23825, Branch Type Confusion), zwi\u0105zany z przeprowadzaniem fa\u0142szywych przej\u015b\u0107 \u2014 warunki do przewidywania przej\u015bcia mog\u0105 wyst\u0119powa\u0107 nawet bez niezb\u0119dnych instrukcji dotycz\u0105cych rozga\u0142\u0119zienia, co pozwala wp\u0142ywa\u0107 na bufor przewidywania przej\u015b\u0107 bez instrukcji \u201eret\u201d. Ta cecha znacznie utrudnia wdro\u017cenie ochrony i wymaga bardziej aktywnego czyszczenia bufora przewidywania przej\u015b\u0107. Spodziewa si\u0119, \u017ce dodanie pe\u0142nej ochrony do j\u0105dra spowoduje wzrost koszt\u00f3w o 209%. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Odtwarzaj](\"https:\/\/img.youtube.com\/vi\/dmSPvJxPm80\/hqdefault.jpg\")
\r\n