{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2014 novas variantes do ataque Spectre-v2, afetando as CPUs Intel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Um grupo de pesquisadores da Universidade Livre de Amsterd\u00e3 identificou v\u00e1rias novas vulnerabilidades da classe Spectre-v2, publicadas sob o codinome Training Solo, que permitem contornar os mecanismos de isolamento de mem\u00f3ria. No contexto de sistemas de virtualiza\u00e7\u00e3o, essas vulnerabilidades possibilitam determinar o conte\u00fado da mem\u00f3ria do ambiente host a partir de sistemas convidados, e no contexto de servidores \u2014 identificar o conte\u00fado da mem\u00f3ria do n\u00facleo ao executar um exploit no espa\u00e7o do usu\u00e1rio. Exemplos de exploits para realizar esses ataques foram publicados no GitHub. Os exploits apresentados permitem extrair dados arbitr\u00e1rios da mem\u00f3ria do n\u00facleo a uma taxa de 17 KB\/s, e da mem\u00f3ria do hipervisor \u2014 8.5 KB\/s. <\/p>\n
Nos ataques da classe Spectre-v2, para organizar a vazamento de dados, utiliza-se a substitui\u00e7\u00e3o de valores no buffer de endere\u00e7os de ramifica\u00e7\u00e3o (Branch Target Buffer) ou no buffer de hist\u00f3rico de ramifica\u00e7\u00f5es (Branch History Buffer), que s\u00e3o usados para prever a pr\u00f3xima opera\u00e7\u00e3o de ramifica\u00e7\u00e3o. Por meio de manipula\u00e7\u00f5es do hist\u00f3rico de ramifica\u00e7\u00e3o, s\u00e3o criadas condi\u00e7\u00f5es para previs\u00f5es incorretas de ramifica\u00e7\u00f5es durante a execu\u00e7\u00e3o especulativa de instru\u00e7\u00f5es. A tarefa do atacante \u00e9 garantir que, durante a opera\u00e7\u00e3o especulativa de ramifica\u00e7\u00e3o, o endere\u00e7o para a ramifica\u00e7\u00e3o seja retirado da \u00e1rea de mem\u00f3ria desejada. Ap\u00f3s a execu\u00e7\u00e3o da ramifica\u00e7\u00e3o especulativa, o endere\u00e7o de ramifica\u00e7\u00e3o lido da mem\u00f3ria permanece no cache do processador (os dados necess\u00e1rios para o atacante s\u00e3o lidos da mem\u00f3ria sob a forma do endere\u00e7o). Para extrair informa\u00e7\u00f5es do cache, pode ser utilizado um dos m\u00e9todos de determina\u00e7\u00e3o do conte\u00fado do cache, com base na an\u00e1lise da varia\u00e7\u00e3o do tempo de acesso a dados armazenados e n\u00e3o armazenados. <\/p>\n
Os m\u00e9todos de ataque Training Solo t\u00eam como alvo a contorna\u00e7\u00e3o dos mecanismos de isolamento de \u00e1reas de execu\u00e7\u00e3o (domain isolation), como IBPB, eIBRS e BHI_NO, utilizados para bloquear ataques da classe Spectre-v2. Por exemplo, a instru\u00e7\u00e3o IBPB (Indirect Branch Prediction Barriers) garante a redefini\u00e7\u00e3o do estado do bloco de previs\u00e3o de desvios a cada troca de contexto \u2014 ao transferir o controle entre o espa\u00e7o do usu\u00e1rio e o n\u00facleo ou entre o sistema convidado e o ambiente host. A redefini\u00e7\u00e3o do estado bloqueia a possibilidade de usar c\u00f3digo pr\u00f3prio para influenciar o comportamento do bloco de previs\u00e3o de desvios indiretos. <\/p>\n
As diferen\u00e7as dos m\u00e9todos Training Solo residem no fato de que, para influenciar o bloco de previs\u00e3o de transi\u00e7\u00f5es, n\u00e3o se prop\u00f5e a execu\u00e7\u00e3o de c\u00f3digo controlado pelo atacante, mas sim a utiliza\u00e7\u00e3o do c\u00f3digo que j\u00e1 existe na \u00e1rea privilegiada de execu\u00e7\u00e3o (n\u00facleo ou hipervisor), de onde o atacante consegue obter vazamentos. No restante, os m\u00e9todos lembram o ataque cl\u00e1ssico Spectre-v2. Al\u00e9m disso, os pesquisadores identificaram dois problemas de hardware (CVE-2024-28956 e CVE-2025-24495) que permitem contornar completamente a separa\u00e7\u00e3o das \u00e1reas de execu\u00e7\u00e3o e realizar vazamentos de processos de outros usu\u00e1rios, de outros sistemas convidados ou do ambiente host.
<\/center> <\/p>\n
Tr\u00eas tipos de ataques Training Solo foram propostos: <\/p>\n
\n
Distor\u00e7\u00e3o da l\u00f3gica de previs\u00e3o de transi\u00e7\u00f5es por meio da chamada de sequ\u00eancias de comandos (gadgets) j\u00e1 existentes no n\u00facleo, que influenciam o conte\u00fado do buffer com o hist\u00f3rico de transi\u00e7\u00f5es. Como tais gadgets, sugere-se utilizar o mecanismo de limita\u00e7\u00e3o de acesso a chamadas de sistema SECCOMP, que permite, por meio da substitui\u00e7\u00e3o de seus filtros BPF, induzir uma transi\u00e7\u00e3o indireta falsa no modo especulativo (os filtros em SECCOMP s\u00e3o definidos utilizando cBPF cl\u00e1ssico, que est\u00e1 habilitado por padr\u00e3o, ao contr\u00e1rio do eBPF). Durante os testes em CPUs Intel Tiger Lake e Lion Cove, a velocidade de vazamento usando esse m\u00e9todo foi de 1,7 KB\/s.\n
Uso de colis\u00f5es de IP (Instruction Pointer) no bloco de previs\u00e3o de transi\u00e7\u00f5es. O atacante pode criar condi\u00e7\u00f5es nas quais o endere\u00e7o para uma transi\u00e7\u00e3o especulativa ser\u00e1 escolhido apenas com base no endere\u00e7o de transi\u00e7\u00e3o j\u00e1 existente no buffer, sem levar em conta o hist\u00f3rico de transi\u00e7\u00f5es. A ideia \u00e9 que uma opera\u00e7\u00e3o de transi\u00e7\u00e3o indireta pode influenciar outra, se ocorrer uma colis\u00e3o ao armazenar os hashes de seus endere\u00e7os no BTB (Branch Target Buffer).\n
Uso do impacto de desvios diretos na previs\u00e3o de desvios indiretos. Esse comportamento \u00e9 causado por duas vulnerabilidades de hardware: CVE-2024-28956 \u2014 ITS (Indirect Target Selection) e CVE-2025-24495 \u2014 um problema no CPU Intel com n\u00facleos Lion Cove. A taxa de vazamento de dados da mem\u00f3ria ao utilizar esse m\u00e9todo foi de 17 KB\/s. No exploit demonstrado para determinar o hash da senha do usu\u00e1rio root, armazenada na mem\u00f3ria ap\u00f3s a execu\u00e7\u00e3o do comando \u201cpasswd -s\u201d, foram gastos 60 segundos. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n