Нова техника за искоришћавање Спецтре рањивости у Цхроме-у

Група истраживача са америчких, аустралијских и израелских универзитета предложила је нову технику напада са стране канала како би се искористиле рањивости класе Спецтре у претраживачима заснованим на Цхромиум мотору. Напад, кодног назива Споок.јс, омогућава вам да заобиђете механизам изолације сајта покретањем ЈаваСцрипт кода и прочитате садржај целог адресног простора тренутног процеса, тј. приступ подацима са страница које се покрећу на другим картицама, али се обрађују у истом процесу.

Пошто Цхроме покреће различите сајтове у различитим процесима, могућност извођења практичних напада ограничена је на услуге које омогућавају различитим корисницима да хостују своје странице. Метод омогућава, са странице у коју нападач има могућност да угради свој ЈаваСцрипт код, да утврди присуство других страница које је отворио корисник са истог сајта и извуче поверљиве информације са њих, на пример, акредитиве или замењене банковне податке по систему аутоматског попуњавања поља у веб обрасцима. Као демонстрација, приказано је како можете напасти туђи блог на Тумблр сервису ако његов власник отвори блог нападача који се налази на истом сервису на другој картици.

Друга опција за коришћење методе је напад на додатке претраживача, који омогућава, када инсталирате додатак који контролише нападач, да извуче податке из других додатака. Као пример, показујемо како инсталирањем злонамерног додатка можете извући поверљиве информације из ЛастПасс менаџера лозинки.

Истраживачи су објавили прототип експлоатације који ради у Цхроме-у 89 на системима са ЦПУИнтел и7-6700К и и7-7600У. Приликом креирања експлоатације, прототипови ЈаваСцрипт кода које је претходно објавио Гоогле коришћени су за извођење напада класе Спецтре. Напомиње се да су истраживачи успели да припреме радне експлоатације за системе засноване на процесорима Интел и Аппле М1, који омогућавају организовање читања меморије брзином од 500 бајтова у секунди и прецизношћу од 96%. Претпоставља се да је метода применљива и на АМД процесоре, али није било могуће припремити потпуно функционалан експлоат.

Напад је применљив на све претраживаче засноване на Цхромиум машини, укључујући Гоогле Цхроме, Мицрософт Едге и Браве. Истраживачи такође верују да се метод може прилагодити за рад са Фајерфоксом, али пошто се Фирефок мотор веома разликује од Цхроме-а, рад на креирању оваквог експлоатације је остављен за будућност.

Да би се заштитио од напада заснованих на прегледачу који се односе на спекулативно извршавање инструкција, Цхроме имплементира сегментацију адресног простора – изолација сандбок-а омогућава ЈаваСцрипт-у да ради само са 32-битним показивачима и дели меморију руковалаца у неповезаним хрпама од 4 ГБ. Да би обезбедили приступ целом адресном простору процеса и заобишли 32-битно ограничење, истраживачи су користили технику под називом Типе Цонфусион, која приморава ЈаваСцрипт машину да обради објекат са нетачним типом, што омогућава формирање 64-битног показивач заснован на комбинацији две 32-битне вредности.

Суштина напада је да се приликом обраде посебно дизајнираног злонамерног објекта у ЈаваСцрипт мотору стварају услови који доводе до спекулативног извршавања инструкција које приступају низу. Објекат се бира на начин да се поља која контролише нападач постављају у област где се користи 64-битни показивач. Пошто се тип злонамерног објекта не поклапа са типом низа који се обрађује, у нормалним условима такве радње су блокиране у Цхроме-у механизмом за деоптимизацију кода који се користи за приступ низовима. Да би се решио овај проблем, код за напад Типе Цонфусион ставља се у условни блок „иф“, који се не активира у нормалним условима, али се извршава у спекулативном режиму, ако процесор погрешно предвиди даље гранање.

Као резултат тога, процесор спекулативно приступа генерисаном 64-битном показивачу и враћа стање након утврђивања неуспешног предвиђања, али трагови извршења остају у дељеном кешу и могу се вратити коришћењем метода детекције кеша бочног канала које анализирају промене у времена приступа кешираним и некешираним подацима . За анализу садржаја кеша у условима недовољне тачности тајмера доступног у ЈаваСцрипт-у, користи се метод који је предложио Гугл, који обмањује стратегију избацивања кеша Трее-ПЛРУ која се користи у процесорима и омогућава повећањем броја циклуса да се значајно повећати разлику у времену када је вредност присутна и одсутна у кешу. .

Извор: опеннет.ру