Нападите на Интел СГКС да бисте издвојили осетљиве податке или извршили код у енклави

Истраживачи са Универзитета за науку и технологију одбране Народне ослободилачке армије, Националног универзитета у Сингапуру и ЕТХ Цириха развили су нови метод напада на изоловане енклаве Интел СГКС (Софтваре Гуард еКстенсионс). Напад се назива СмасхЕк и узрокован је проблемима са поновним уласком при руковању ситуацијама изузетака током рада компоненти времена извршавања за Интел СГКС. Предложени метод напада омогућава, ако имате контролу над оперативним системом, да одредите поверљиве податке који се налазе у енклави, или да организујете копирање вашег кода у меморију енклаве и његово извршење.

Екплоит прототипови су припремљени за енклаве са рунтиме-ом на основу Интел СГКС СДК (ЦВЕ-2021-0186) и Мицрософт Опен Енцлаве (ЦВЕ-2021-33767). У првом случају је демонстрирана могућност издвајања РСА кључа који се користи на веб серверу за ХТТПС, ау другом је било могуће одредити садржај добијен помоћу цУРЛ услужног програма који ради унутар енклаве. Рањивост је већ програмски отклоњена у издањима Интел СГКС СДК 2.13 и Опен Енцлаве 0.17.1. Поред Интел СГКС СДК и Мицрософт Опен Енцлаве, рањивост се такође појављује у Гоогле Асило СДК, ЕдгелессРТ, Апацхе Теацлаве, Руст СГКС СДК, СГКС-ЛКЛ, ЦоСМИКС и Верацруз.

Подсетимо се да се СГКС (Софтваре Гуард Ектенсионс) технологија појавила у шестој генерацији Интел Цоре процесора (Скилаке) и нуди низ упутстава која омогућавају апликацијама на нивоу корисника да доделе затворене меморијске области – енклаве, чији садржај се не може читати и модификован чак и од стране кернела и кода који се извршава у ринг0, СММ и ВММ режимима. Немогуће је пренети контролу на код у енклави коришћењем традиционалних функција скока и манипулација са регистрима и стеком – посебно креиране нове инструкције ЕЕНТЕР, ЕЕКСИТ и ЕРЕСУМЕ се користе за пренос контроле у ​​енклаву, које врше проверу овлашћења. У овом случају, код смештен у енклаву може да користи класичне методе позивања за приступ функцијама унутар енклаве и посебне инструкције за позивање екстерних функција. Енклавно шифровање меморије се користи за заштиту од хардверских напада као што је повезивање са ДРАМ модулом.

Проблем је у томе што СГКС технологија дозвољава оперативном систему да прекине енклаву бацањем хардверског изузетка, а енклаве не имплементирају правилно примитиве за атомско руковање таквим изузецима. За разлику од кернела оперативног система и обичних апликација, код унутар енклава нема приступ примитивима за организовање атомских акција приликом руковања асинхроно баченим изузецима. Без наведених атомских примитива, енклава може бити прекинута у било ком тренутку и враћена у извршење, чак и у временима када енклава извршава критичне секције и када је у несигурном стању (на пример, када регистри ЦПУ-а нису сачувани/враћани).

За нормалан рад, СГКС технологија дозвољава да се извршавање енклаве прекине хардверским изузецима који се могу конфигурисати. Ова функција омогућава енклавним рунтиме окружењима да имплементирају руковање изузетцима унутар енклаве или обраду сигнала, али такође може изазвати грешке при поновном уласку. СмасхЕк напад се заснива на искоришћавању недостатака у СДК-у због којих се ситуација поновног позивања руковаоца изузетком не решава правилно. Важно је да, да би искористио рањивост, нападач мора бити у могућности да прекине извршење енклаве, тј. мора да контролише рад системског окружења.

Након избацивања изузетка, нападач добија мали временски прозор током којег се нит извршавања може пресрести манипулацијом улазних параметара. Конкретно, ако имате приступ систему (окружење изван енклаве), можете креирати нови изузетак одмах након извршавања инструкције за улазак у енклаву (ЕЕНТЕР), која ће вратити контролу систему у фази када је подешавање стека за енклава још није завршена, у којој је такође сачувано стање ЦПУ регистара.

Систем тада може да врати контролу назад у енклаву, али пошто стек енклаве није био конфигурисан у време прекида, енклава ће се извршити са стеком који се налази у системској меморији, што се може користити за коришћење програмирања оријентисаног на повратак (РОП ) технике експлоатације.Оријентирано програмирање). Када користи РОП технику, нападач не покушава да смести свој код у меморију, већ ради на деловима машинских инструкција које су већ доступне у учитаним библиотекама, које се завршавају инструкцијом повратка контроле (по правилу, то су крајеви библиотечких функција) . Рад експлоатације се своди на изградњу ланца позива сличних блокова („гаџета“) да би се добила жељена функционалност.

Извор: опеннет.ру