{"id":104644,"date":"2022-07-13T15:36:38","date_gmt":"2022-07-13T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd"},"modified":"2022-07-13T15:36:38","modified_gmt":"2022-07-13T13:36:38","slug":"retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/retbleed-novaya-ataka-na-mehanizm-spekulyativnogo-vypolneniya-cpu-intel-i-amd","title":{"rendered":"Retbleed \u2014 o nou\u0103 atac asupra mecanismului de execu\u021bie speculativ\u0103 CPU Intel \u0219i AMD","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un grup de cercet\u0103tori de la ETH Z\u00fcrich din Elve\u021bia a descoperit o nou\u0103 variant\u0103 de atac asupra mecanismului de execu\u021bie speculativ\u0103 a salturilor indirecte \u00een CPU, care permite extragerea de informa\u021bii din memoria nucleului sau organizarea unui atac asupra sistemului gazd\u0103 din ma\u0219inile virtuale. Vulnerabilit\u0103\u021bile au fost denumite Retbleed (CVE-2022-29900, CVE-2022-29901) \u0219i sunt asem\u0103n\u0103toare prin natura lor atacurilor Spectre-v2. Diferen\u021ba const\u0103 \u00een organizarea execu\u021biei speculativ\u0103 a codului arbitrar \u00een timpul proces\u0103rii instruc\u021biunii «ret» (return), care extrage adresa de salt din stiv\u0103, \u00een loc de saltul indirect prin instruc\u021biunea «jmp» cu \u00eenc\u0103rcarea adresei din memorie sau registrul CPU. <\/p>\n
Atacatorul poate crea condi\u021bii pentru o prezicere incorect\u0103 a saltului \u0219i poate organiza un salt speculativ \u021bintit c\u0103tre un bloc de cod care nu este prev\u0103zut \u00een logica de execu\u021bie a programului. \u00cen cele din urm\u0103, procesorul va determina c\u0103 prezicerea ramific\u0103rii nu a fost corect\u0103 \u0219i va reveni la starea ini\u021bial\u0103, dar datele procesate \u00een timpul execu\u021biei speculative se vor a\u0219eza \u00een cache \u0219i \u00een bufferele microarhitecturale. Dac\u0103 blocul executat din gre\u0219eal\u0103 efectueaz\u0103 o accesare a memoriei, atunci execu\u021bia sa speculativ\u0103 va duce la a\u0219ezarea \u00een cache-ul general a datelor citite din memorie. <\/p>\n
Pentru a determina datele r\u0103mase \u00een cache dup\u0103 execu\u021bia speculativ\u0103 a opera\u021biunilor, atacatorul poate utiliza metode de determinare a datelor reziduale prin canale secundare, de exemplu, analizeaz\u0103 modific\u0103rile timpului de acces la datele cache \u0219i cele necache. Pentru extragerea \u00eendreptat\u0103 a informa\u021biilor din zone aflate \u00een alt nivel de privilegii (de exemplu, din memoria nucleului) se folosesc «gadgets» \u2014 secven\u021be de instruc\u021biuni prezente \u00een nucleu, potrivite pentru citirea speculativ\u0103 a datelor din memorie \u00een func\u021bie de condi\u021bii externe, asupra c\u0103rora atacatorul poate influen\u021ba. <\/p>\n
Pentru a proteja \u00eempotriva atacurilor clasice de tip Spectre, care utilizeaz\u0103 instruc\u021biuni de salt condi\u021bionat \u0219i indirect, majoritatea sistemelor de operare aplic\u0103 tehnica «retpoline», bazat\u0103 pe \u00eenlocuirea opera\u021biunilor de salt indirect cu instruc\u021biunea «ret», pentru care \u00een procesoare se aplic\u0103 un bloc separat de predic\u021bie a st\u0103rii stivei, care nu utilizeaz\u0103 blocul de predic\u021bie a salturilor. C\u00e2nd a fost implementat\u0103 retpoline \u00een 2018, s-a considerat c\u0103 manevrele asem\u0103n\u0103toare cu Spectre asupra adreselor nu sunt aplicabile \u00een practic\u0103 pentru saltul speculativ cu instruc\u021biunea «ret». <\/p>\n
Cercet\u0103torii care au dezvoltat metoda de atac Retbleed au demonstrat posibilitatea de a crea condi\u021bii microarhitecturale pentru ini\u021bierea unui salt speculativ prin instruc\u021biunea «ret» \u0219i au publicat un set complet de instrumente pentru identificarea \u00een nucleul Linux a secven\u021belor de instruc\u021biuni (gadgets) potrivite pentru exploatarea vulnerabilit\u0103\u021bilor \u00een care apar astfel de condi\u021bii. <\/p>\n
\u00cen cadrul cercet\u0103rii, a fost preg\u0103tit un exploit func\u021bional care permite, pe sistemele cu CPU Intel, extragerea de date arbitrare din memoria kernelului cu o vitez\u0103 de 219 octe\u021bi pe secund\u0103 \u0219i o precizie de 98% dintr-un proces neprivilegiat \u00een spa\u021biul utilizatorului. Pe procesoarele AMD, eficien\u021ba exploit-ului este mult mai mare \u2014 viteza de scurgere este de 3.9 KB pe secund\u0103. Ca exemplu practic, este demonstrat cum, folosind exploit-ul propus, se poate determina con\u021binutul fi\u0219ierului \/etc\/shadow. Pe sistemele cu CPU Intel, atacul pentru determinarea hash-ului parolei utilizatorului root a fost realizat \u00een 28 de minute, iar pe sistemele cu CPU AMD \u2014 \u00een 6 minute.
\r\n \r\n
<\/div>\r\n <\/div><\/center> <\/p>\n
Posibilitatea de a efectua atacul a fost confirmat\u0103 pentru procesoarele Intel de genera\u021bia 6-8, care au fost produse p\u00e2n\u0103 \u00een cel de-al treilea trimestru al anului 2019 (inclusiv Skylake), \u0219i pentru procesoarele AMD bazate pe microarhitecturile Zen 1, Zen 1+ \u0219i Zen 2, care au fost produse p\u00e2n\u0103 \u00een cel de-al doilea trimestru al anului 2021. \u00cen modelele mai noi de procesoare, cum ar fi AMD Zen3 \u0219i Intel Alder Lake, precum \u0219i \u00een procesoarele ARM, problema este blocat\u0103 de mecanismele existente de protec\u021bie. De exemplu, utilizarea instruc\u021biunilor IBRS (Indirect Branch Restricted Speculation) ajut\u0103 la protec\u021bia \u00eempotriva atacului. <\/p>\n
Pentru kernelul Linux \u0219i hypervizorul Xen a fost preg\u0103tit un set de modific\u0103ri care, pe CPU-urile vechi, blocheaz\u0103 problema prin metode software. Patch-ul propus pentru kernelul Linux modific\u0103 68 de fi\u0219iere, adaug\u0103 1783 de linii \u0219i \u0219terge 387 de linii. Din p\u0103cate, protec\u021bia duce la costuri colaterale semnificative \u2014 \u00een testele efectuate pe procesoarele AMD \u0219i Intel, sc\u0103derea performan\u021bei este estimat\u0103 \u00eentre 14% \u0219i 39%. O metod\u0103 mai preferabil\u0103 este aplicarea protec\u021biei bazate pe instruc\u021biuni IBRS, disponibile \u00een noile genera\u021bii de CPU Intel \u0219i suportate \u00eencep\u00e2nd cu kernelul Linux 4.19. <\/p>\n
Pe procesoarele Intel, substituirea adresei pentru saltul indirect speculativ este realizat\u0103 datorit\u0103 unei caracteristici care apare \u00een cadrul unei dep\u0103\u0219iri sub limita (underflow) \u00een bufferul de predic\u021bie a con\u021binutului stivei (Return Stack Buffer). C\u00e2nd apar astfel de condi\u021bii, logica de selec\u021bie a adresei pentru instruc\u021biunea \u201eret\u201d \u00eencepe s\u0103 se aplice, similar cu cea utilizat\u0103 \u00een timpul salturilor indirecte obi\u0219nuite. \u00cen kernelul Linux au fost g\u0103site mai bine de o mie de locuri care creeaz\u0103 condi\u021bii propice ini\u021bierii unei astfel de dep\u0103\u0219iri inverse \u0219i care sunt accesibile prin intermediul apelurilor de sistem. <\/p>\n
Pe procesoarele AMD, executarea speculativ\u0103 a instruc\u021biunii \u201eret\u201d se realizeaz\u0103 f\u0103r\u0103 a fi legat\u0103 de buffer-ul specific stivei (Return Address Stack), iar blocul de predic\u021bie a salturilor consider\u0103 instruc\u021biunea \u201eret\u201d nu ca un return al controlului, ci ca un salt indirect, folosind, \u00een consecin\u021b\u0103, datele pentru salturi indirecte \u00een predic\u021bie. \u00cen astfel de condi\u021bii, practic orice opera\u021bie \u201eret\u201d accesibil\u0103 printr-un apel de sistem poate fi utilizat\u0103 pentru exploatare. <\/p>\n
\u00cen plus, CPU-urile AMD au fost identificate cu o alt\u0103 problem\u0103 (CVE-2022-23825, Branch Type Confusion), legat\u0103 de efectuarea de salturi false \u2014 condi\u021biile pentru predic\u021bia saltului pot ap\u0103rea chiar \u0219i f\u0103r\u0103 instruc\u021biunile necesare de ramificare, ceea ce permite influen\u021barea buffer-ului de predic\u021bie a salturilor f\u0103r\u0103 instruc\u021biunea \u201eret\u201d. Aceast\u0103 particularitate complic\u0103 semnificativ implementarea protec\u021biei \u0219i necesit\u0103 o cur\u0103\u021bare mai activ\u0103 a buffer-ului de predic\u021bie a salturilor. Se a\u0219teapt\u0103 ca ad\u0103ugarea unei protec\u021bii complete \u00een kernel s\u0103 conduca la o cre\u0219tere a costurilor cu 209%. \n Sursa: opennet.ro<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Reda\u021bi](\"https:\/\/img.youtube.com\/vi\/dmSPvJxPm80\/hqdefault.jpg\")
\r\n