{"id":104644,"date":"2022-07-13T15:36:38","date_gmt":"2022-07-13T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd"},"modified":"2022-07-13T15:36:38","modified_gmt":"2022-07-13T13:36:38","slug":"retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","title":{"rendered":"Retbleed \u2014 um novo ataque ao mecanismo de execu\u00e7\u00e3o especulativa de CPUs Intel e AMD","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Um grupo de pesquisadores da Escola Polit\u00e9cnica Federal de Zurique identificou uma nova variante de ataque ao mecanismo de execu\u00e7\u00e3o especulativa de saltos indiretos em CPUs, permitindo a extra\u00e7\u00e3o de informa\u00e7\u00f5es da mem\u00f3ria do n\u00facleo ou a realiza\u00e7\u00e3o de um ataque ao sistema anfitri\u00e3o a partir de m\u00e1quinas virtuais. As vulnerabilidades receberam o codinome Retbleed (CVE-2022-29900, CVE-2022-29901) e s\u00e3o similares em ess\u00eancia aos ataques Spectre-v2. A diferen\u00e7a reside na organiza\u00e7\u00e3o da execu\u00e7\u00e3o especulativa de c\u00f3digo arbitr\u00e1rio ao processar a instru\u00e7\u00e3o \"ret\" (return), que extrai o endere\u00e7o para o salto da pilha, em vez de um salto indireto atrav\u00e9s da instru\u00e7\u00e3o \"jmp\" com o carregamento do endere\u00e7o da mem\u00f3ria ou do registrador da CPU. <\/p>\n
O atacante pode criar condi\u00e7\u00f5es para uma previs\u00e3o incorreta de salto e organizar um salto especulativo direcionado para um bloco de c\u00f3digo n\u00e3o previsto pela l\u00f3gica de execu\u00e7\u00e3o do programa. No final, o processador determinar\u00e1 que a previs\u00e3o de bifurca\u00e7\u00e3o estava errada e reverter\u00e1 a opera\u00e7\u00e3o ao estado original, mas os dados processados durante a execu\u00e7\u00e3o especulativa permanecer\u00e3o em cache e em buffers microarquiteturais. Se o bloco executado erroneamente acessa a mem\u00f3ria, sua execu\u00e7\u00e3o especulativa resultar\u00e1 na perman\u00eancia de dados no cache geral e em dados lidos da mem\u00f3ria. <\/p>\n
Para determinar os dados que permanecem no cache ap\u00f3s a execu\u00e7\u00e3o especulativa de opera\u00e7\u00f5es, o atacante pode usar m\u00e9todos de identifica\u00e7\u00e3o de dados residuais por canais laterais, como analisar as varia\u00e7\u00f5es no tempo de acesso a dados armazenados em cache e n\u00e3o armazenados em cache. Para a extra\u00e7\u00e3o direcionada de informa\u00e7\u00f5es de \u00e1reas em um n\u00edvel de privil\u00e9gio diferente (por exemplo, da mem\u00f3ria do n\u00facleo), s\u00e3o utilizados 'gadgets' \u2014 sequ\u00eancias de comandos presentes no n\u00facleo que s\u00e3o adequadas para leitura especulativa de dados da mem\u00f3ria, dependendo de condi\u00e7\u00f5es externas que podem ser influenciadas pelo atacante. <\/p>\n
Para prote\u00e7\u00e3o contra ataques cl\u00e1ssicos do tipo Spectre, que utilizam instru\u00e7\u00f5es de desvio condicional e indireto, a maioria dos sistemas operacionais emprega a t\u00e9cnica 'retpoline', que se baseia na substitui\u00e7\u00e3o das opera\u00e7\u00f5es de desvio indireto pela instru\u00e7\u00e3o 'ret', para a qual os processadores utilizam um bloco separado de previs\u00e3o do estado da pilha, que n\u00e3o usa o bloco de previs\u00e3o de desvios. Quando o retpoline foi introduzido em 2018, acreditava-se que manipula\u00e7\u00f5es de endere\u00e7os semelhantes ao Spectre n\u00e3o eram aplic\u00e1veis na pr\u00e1tica \u00e0 execu\u00e7\u00e3o especulativa usando a instru\u00e7\u00e3o 'ret'. <\/p>\n
Os pesquisadores que desenvolveram o m\u00e9todo de ataque Retbleed demonstraram a viabilidade de criar condi\u00e7\u00f5es microarquitet\u00f4nicas para iniciar o desvio especulativo usando a instru\u00e7\u00e3o 'ret' e publicaram um conjunto de ferramentas para identificar no n\u00facleo do Linux sequ\u00eancias de instru\u00e7\u00f5es que s\u00e3o vulner\u00e1veis \u00e0 explora\u00e7\u00e3o (gadgets), nas quais tais condi\u00e7\u00f5es se manifestam. <\/p>\n
Durante a pesquisa, foi elaborado um exploit de trabalho que permite, em sistemas com CPU Intel, extrair dados arbitr\u00e1rios da mem\u00f3ria do n\u00facleo a partir de um processo n\u00e3o privilegiado no espa\u00e7o do usu\u00e1rio, com uma taxa de 219 bytes por segundo e uma precis\u00e3o de 98%. Em processadores AMD, a efic\u00e1cia do exploit \u00e9 muito maior \u2014 a velocidade da fuga de dados \u00e9 de 3,9 KB por segundo. Como exemplo pr\u00e1tico, \u00e9 demonstrado como, utilizando o exploit proposto, \u00e9 poss\u00edvel determinar o conte\u00fado do arquivo \/etc\/shadow. Em sistemas com CPU Intel, o ataque para determinar o hash da senha do usu\u00e1rio root levou 28 minutos, enquanto em sistemas com CPU AMD levou apenas 6 minutos.
\r\n \r\n
<\/div>\r\n <\/div><\/center> <\/p>\n
A possibilidade de realizar o ataque foi confirmada para processadores Intel da 6\u00aa \u00e0 8\u00aa gera\u00e7\u00e3o, que foram lan\u00e7ados at\u00e9 o terceiro trimestre de 2019 (incluindo Skylake), e processadores AMD baseados nas microarquiteturas Zen 1, Zen 1+ e Zen 2, que foram lan\u00e7ados at\u00e9 o segundo trimestre de 2021. Em modelos de processadores mais novos, como AMD Zen3 e Intel Alder Lake, assim como em processadores ARM, o problema \u00e9 mitigado por mecanismos de prote\u00e7\u00e3o existentes. Por exemplo, a aplica\u00e7\u00e3o de instru\u00e7\u00f5es IBRS (Indirect Branch Restricted Speculation) ajuda a proteger contra o ataque. <\/p>\n
Para o n\u00facleo Linux e o hipervisor Xen, foi preparado um conjunto de mudan\u00e7as que, em CPUs mais antigas, bloqueiam o problema por meio de software. O patch proposto para o n\u00facleo Linux modifica 68 arquivos, adiciona 1783 linhas e remove 387 linhas. Infelizmente, a prote\u00e7\u00e3o resulta em custos significativos \u2014 nas an\u00e1lises realizadas em processadores AMD e Intel, a redu\u00e7\u00e3o de desempenho \u00e9 avaliada entre 14% e 39%. A aplica\u00e7\u00e3o de prote\u00e7\u00e3o baseada nas instru\u00e7\u00f5es IBRS, dispon\u00edveis nas novas gera\u00e7\u00f5es de CPUs Intel e suportadas a partir do n\u00facleo Linux 4.19, \u00e9 mais prefer\u00edvel. <\/p>\n
Nos processadores Intel, a inser\u00e7\u00e3o do endere\u00e7o para o desvio indireto especulativo ocorre devido a uma caracter\u00edstica que se manifesta durante um overflow inferior (underflow) no buffer de previs\u00e3o de conte\u00fado da pilha (Return Stack Buffer). Quando essas condi\u00e7\u00f5es se verificam, a l\u00f3gica de sele\u00e7\u00e3o de endere\u00e7o para a instru\u00e7\u00e3o 'ret' passa a ser similar \u00e0quela utilizada em desvios indiretos normais. No n\u00facleo Linux, foram encontrados mais de mil locais que criam condi\u00e7\u00f5es para a inicia\u00e7\u00e3o de tal overflow inverso, acess\u00edveis por meio de chamadas de sistema. <\/p>\n
Nos processadores AMD, a execu\u00e7\u00e3o especulativa da instru\u00e7\u00e3o 'ret' ocorre sem estar vinculada a um buffer espec\u00edfico da pilha (Return Address Stack), e o bloco de previs\u00e3o de desvios considera a instru\u00e7\u00e3o 'ret' n\u00e3o como um retorno de controle, mas sim como um desvio indireto, e, consequentemente, utiliza dados para desvios indiretos em suas previs\u00f5es. Sob essas condi\u00e7\u00f5es, praticamente qualquer opera\u00e7\u00e3o 'ret', acess\u00edvel por meio de uma chamada de sistema, pode ser utilizada para explora\u00e7\u00e3o. <\/p>\n
Al\u00e9m disso, foi identificada mais uma vulnerabilidade na CPU AMD (CVE-2022-23825, Branch Type Confusion), relacionada \u00e0 realiza\u00e7\u00e3o de saltos fict\u00edcios \u2014 condi\u00e7\u00f5es para a previs\u00e3o de saltos podem surgir mesmo sem as instru\u00e7\u00f5es de ramifica\u00e7\u00e3o necess\u00e1rias, o que permite influenciar o buffer de previs\u00e3o de saltos sem a instru\u00e7\u00e3o \"ret\". Essa particularidade complica significativamente a implementa\u00e7\u00e3o da prote\u00e7\u00e3o e exige uma limpeza mais ativa do buffer de previs\u00e3o de saltos. Espera-se que a adi\u00e7\u00e3o de prote\u00e7\u00e3o completa ao n\u00facleo resulte em um aumento de 209% nos custos operacionais. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Por](\"https:\/\/img.youtube.com\/vi\/dmSPvJxPm80\/hqdefault.jpg\")
\r\n