Ретблеед је нови напад на спекулативни механизам извршења Интел и АМД ЦПУ-а

Група истраживача са ЕТХ Цириха идентификовала је нови напад на механизам спекулативног извршавања индиректних прелаза у ЦПУ-у, који омогућава извлачење информација из меморије кернела или организовање напада на хост систем са виртуелних машина. Рањивости имају кодни назив Ретблеед (ЦВЕ-2022-29900, ЦВЕ-2022-29901) и по природи су блиске Спецтре-в2 нападима. Разлика се своди на организацију спекулативног извршавања произвољног кода при обради инструкције „рет“ (ретурн), која дохваћа адресу за скок са стека, уместо индиректног скока помоћу „јмп“ инструкције, учитавајући адресу са меморију или регистар процесора.

Нападач може да створи услове за нетачно предвиђање прелаза и да организује циљани, спекулативни прелаз на блок кода који није предвиђен логиком извршавања програма. На крају, процесор ће утврдити да предвиђање гранања није било оправдано и вратиће операцију у првобитно стање, али ће подаци обрађени током спекулативног извршења завршити у кешу и микроархитектонским баферима. Ако погрешно извршени блок приступи меморији, онда ће његово спекулативно извршење довести до тога да се подаци прочитани из меморије депонују у дељену кеш меморију.

Да би одредио податке који остају у кешу након спекулативних операција, нападач може да користи технике бочног канала да би одредио преостале податке, као што је анализа промена у времену приступа кешираним и некешираним подацима. Да би се наменски извлачиле информације из области на другом нивоу привилегија (на пример, из меморије кернела), користе се „справици“ – секвенце команди присутних у кернелу које су погодне за спекулативно читање података из меморије у зависности од спољашњих услова на које може утицати нападача.

Да би се заштитили од класичних напада класе Спецтре који користе условне и индиректне инструкције за скок, већина оперативних система користи технику „ретполине“, која се заснива на замени операција индиректног скока са „рет“ инструкцијом, за коју процесори користе посебну јединицу за предвиђање стања стека не користи блок за предвиђање гранања. Када је ретполине уведен 2018. године, веровало се да манипулације адресама сличне Спецтре-у нису практичне за спекулативно гранање коришћењем инструкције „рет“.

Истраживачи који су развили метод напада Ретблеед демонстрирали су могућност стварања микроархитектонских услова за покретање спекулативне транзиције користећи инструкцију „рет” и објавили готове алате за идентификацију секвенци инструкција (гаџета) погодних за искоришћавање рањивости у Линук кернелу, у којима се такви услови испољавају.

Током истраживања припремљен је радни експлоат који омогућава, на системима са Интел ЦПУ-има, да се извуку произвољни подаци из меморије кернела из непривилегованог процеса у корисничком простору брзином од 219 бајтова у секунди и 98% тачности. На АМД процесорима, ефикасност експлоатације је много већа — стопа цурења је 3.9 КБ у секунди. Као практичан пример, показујемо како да користите предложени експлоат за одређивање садржаја датотеке /етц/схадов. На системима са Интел ЦПУ-има, напад на одређивање хеш лозинке роот корисника изведен је за 28 минута, а на системима са АМД ЦПУ-има - за 6 минута.

Напад је потврђен за генерације 6-8 Интел процесора који су објављени пре трећег квартала 3. (укључујући Скилаке) и АМД процесора заснованих на Зен 2019, Зен 1+ и Зен 1 микроархитектурама који су објављени пре К2 2021. Код новијих модела процесора као што су АМД Зен3 и Интел Алдер Лаке, као и код АРМ процесора, проблем је блокиран постојећим заштитним механизмима. На пример, коришћење ИБРС (Индирецт Бранцх Рестрицтед Спецулатион) инструкција помаже у заштити од напада.

Припремљен је сет измена за Линук кернел и Ксен хипервизор, које ће блокирати проблем у софтверу на старијим процесорима. Предложена закрпа за Линук кернел мења 68 датотека, додаје 1783 реда и брише 387 линија. Нажалост, заштита доводи до значајних режијских трошкова – у текстовима који се воде на АМД и Интел процесорима, смањење перформанси се процењује са 14% на 39%. Пожељније је користити заштиту засновану на ИБРС упутствима, доступну у новим генерацијама Интел ЦПУ-а и подржану почевши од Линук кернела 4.19.

На Интел процесорима, замена адресе за спекулативни индиректни скок се врши захваљујући функцији која се појављује када дође до преливања кроз доњу границу (ундерфлов) у баферу повратног стека. Када се такви услови појаве, инструкција „рет“ почиње да примењује логику избора адресе сличну оној која се користи за нормалне индиректне скокове. У Линук кернелу је пронађено више од хиљаду места која стварају услове за покретање таквог повратног тока и доступна су преко системских позива.

На АМД процесорима, шпекулативно извршење „рет“ инструкције се врши без упућивања на бафер специфичан за стек (Ретурн Аддресс Стацк) и јединица за предвиђање гранања сматра „рет“ инструкцију не као повратну контролу, већ као индиректну грану , и, сходно томе, користи податке за предвиђање индиректних прелаза. Под овим условима, практично свака "рет" операција до које се може доћи преко системског позива може се искористити.

Поред тога, још један проблем је такође идентификован у АМД процесорима (ЦВЕ-2022-23825, конфузија типа грана) који се односи на имплементацију фиктивних гранања - услови за предвиђање гранања могу се појавити чак и без неопходних инструкција гранања, што омогућава утицај на бафер предвиђања гранања без упутства "рет". Ова карактеристика значајно компликује имплементацију заштите и захтева активније чишћење бафера за предвиђање гранања. Очекује се да ће додавање пуне заштите језгру повећати трошкове за 209%.

Извор: опеннет.ру