{"id":124683,"date":"2025-05-13T15:05:07","date_gmt":"2025-05-13T13:05:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/training-solo-novye-varianty-ataki-spectre-v2-zatragivayushhie-cpu-intel","title":{"rendered":"Training Solo \u2014 noi variante de atac Spectre-v2 care afecteaz\u0103 CPU Intel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un grup de cercet\u0103tori de la Universitatea Liber\u0103 din Amsterdam a identificat mai multe vulnerabilit\u0103\u021bi noi din clasa Spectre-v2, publicate sub numele de cod Training Solo, care permit ocolirea mecanismelor de izolare a memoriei. \u00cen contextul sistemelor de virtualizare, vulnerabilit\u0103\u021bile ofer\u0103 posibilitatea de a determina con\u021binutul memoriei mediu-ului gazd\u0103 din sistemele oaspete, iar \u00een contextul serverelor \u2014 de a determina con\u021binutul memoriei nucleului \u00een timpul execut\u0103rii unui exploit \u00een spa\u021biul utilizatorului. Exemple de exploits pentru realizarea unor astfel de atacuri sunt publicate pe GitHub. Exploiturile prezentate permit extragerea de date arbitrare din memoria nucleului cu o vitez\u0103 de 17 KB\/sec, iar din memoria hipervizorului \u2014 8.5 KB\/sec. <\/p>\n
\u00cen atacurile de tip Spectre-v2, pentru a organiza scurgeri de date, se utilizeaz\u0103 substitu\u021bia valorilor \u00een bufferul de adresare a ramifica\u021biei (Branch Target Buffer) sau bufferul de istoric al tranzi\u021biilor (Branch History Buffer), utilizate pentru prezicerea urm\u0103toarei opera\u021biuni de ramifica\u021bie. Prin manipularea istoriei tranzi\u021biilor, se creeaz\u0103 condi\u021bii pentru o predic\u021bie gre\u0219it\u0103 a tranzi\u021biei \u00een timpul execu\u021biei speculative a instruc\u021biunilor. Sarcina atacatorului este ca, \u00een timpul execu\u021biei opera\u021biunii speculative de ramifica\u021bie, adresa pentru tranzi\u021bie s\u0103 fie luat\u0103 din zona de memorie dorit\u0103. Dup\u0103 efectuarea tranzi\u021biei speculative, \u00een cache-ul procesorului r\u0103m\u00e2ne adresa citit\u0103 din memorie (sub form\u0103 de adres\u0103, datele necesare atacatorului sunt citite din memorie). Pentru extragerea informa\u021biilor din cache poate fi utilizat\u0103 una dintre metodele de determinare a con\u021binutului cache-ului, bazat\u0103 pe analiza modific\u0103rilor timpului de acces la datele cache-u \u0219i necache-u. <\/p>\n
Metodele de atac Training Solo vizeaz\u0103 ocolirea mecanismelor de izolare a domeniilor de execu\u021bie (domain isolation), cum ar fi IBPB, eIBRS \u0219i BHI_NO, care sunt utilizate pentru a bloca atacurile din clasa Spectre-v2. De exemplu, instruc\u021biunea IBPB (Indirect Branch Prediction Barriers) asigur\u0103 resetarea st\u0103rii blocului de predic\u021bie a ramifica\u021biilor la fiecare schimbare de context \u2014 atunci c\u00e2nd se transfer\u0103 controlul \u00eentre spa\u021biul utilizatorului \u0219i nucleu sau \u00eentre sistemul oaspete \u0219i mediu-ului gazd\u0103. Resetarea st\u0103rii blocheaz\u0103 posibilitatea utiliz\u0103rii codului propriu pentru a influen\u021ba comportamentul blocului de predic\u021bie a ramifica\u021biilor indirecte. <\/p>\n
Diferen\u021bele dintre metodele Training Solo constau \u00een faptul c\u0103, pentru a influen\u021ba blocul de predic\u021bie a tranzi\u021biilor, se propune s\u0103 nu se execute un cod controlat de atacator, ci s\u0103 se utilizeze codul deja existent \u00een zona privilegiat\u0103 de execu\u021bie (nucleu sau hipervizor), din care atacatorul ob\u021bine scurgeri. \u00cen rest, metodele sunt asem\u0103n\u0103toare cu atacul clasic Spectre-v2. Pe l\u00e2ng\u0103 acest lucru, cercet\u0103torii au identificat dou\u0103 probleme hardware (CVE-2024-28956 \u0219i CVE-2025-24495) care permit ocolirea complet\u0103 a izol\u0103rii zonelor de execu\u021bie \u0219i realizarea scurgerilor din procesele altor utilizatori, alte sisteme gazd\u0103 sau mediu de gazd\u0103.
<\/center> <\/p>\n
Au fost propuse trei tipuri de atacuri Training Solo: <\/p>\n
\n
Distorsiunea logicii predic\u021biei tranzi\u021biilor prin apelarea secven\u021belor de comenzi (gadgets) deja existente \u00een nucleu, care influen\u021beaz\u0103 con\u021binutul buffer-ului cu istoricul tranzi\u021biilor. Ca gadgeturi, se propune utilizarea mecanismului de restric\u021bionare a accesului la apeluri sistemice SECCOMP, care permite, prin substituirea filter-elor BPF, atingerea unui salt indirect fals \u00een modul speculativ (filter-ele \u00een SECCOMP sunt definite folosind cBPF clasic, activat implicit spre deosebire de eBPF). La testarea pe CPU Intel Tiger Lake \u0219i Lion Cove, viteza scurgerii utiliz\u00e2nd aceast\u0103 metod\u0103 a fost de 1.7KB\/sec.\n
Utilizarea coliziunilor IP (Instruction Pointer) \u00een blocul de predic\u021bie a tranzi\u021biilor. Atacatorul poate crea condi\u021bii \u00een care adresa pentru s\u0103ritura speculativ\u0103 este aleas\u0103 doar pe baza adresei deja existente \u00een buffer, f\u0103r\u0103 a \u021bine cont de istoricul tranzi\u021biilor. Ideea este c\u0103 o opera\u021biune de salt indirect poate influen\u021ba alta, dac\u0103 apare o coliziune \u00een stocarea hash-urilor adreselor acestora \u00een BTB (Branch Target Buffer).\n
Utilizarea influen\u021bei ramifica\u021biilor directe asupra predic\u021biei ramifica\u021biilor indirecte. Un astfel de comportament este cauzat de dou\u0103 vulnerabilit\u0103\u021bi hardware: CVE-2024-28956 \u2014 ITS (Indirect Target Selection) \u0219i CVE-2025-24495 \u2014 o problem\u0103 \u00een CPU Intel cu nuclee Lion Cove. Viteza de scurgere a datelor din memorie prin utilizarea acestei metode a fost de 17 KB\/sec. \u00cen exploit-ul demonstrat pentru determinarea hash-ului parolei utilizatorului root, salvat \u00een memorie dup\u0103 apelul comenzii \u201epasswd -s\u201d, s-au folosit 60 de secunde. <\/ul>\n
![\"Training](\"\/wp-content\/uploads\/2025\/05\/aab3af31923044fc239d55ff8b7846b4.png\")
<\/center> <\/p>\n![\"Training](\"\/wp-content\/uploads\/2025\/05\/14076832d38911938e435cf800505ac7.png\")
<\/center> <\/p>\n