Forskare frÄn Kaliforniens universitet i San Diego har presenterat en ny attackmetod pÄ mikroarkitekturstrukturer hos Intel-processorer, som kan tillÀmpas pÄ CPU:er baserade pÄ mikroarkitekturerna Raptor Lake och Alder Lake. Attacken, som har kodnamnet Indirector, möjliggör en förÀndring av den spekulativa exekveringen av instruktioner i andra processer och pÄ andra privilegienivÄer (till exempel i kÀrnan eller en annan virtuell maskin) som körs i samma CPU-trÄd som angriparens kod. Som en demonstration av metodens arbete har en prototyp av ett exploit skapats, som gör det möjligt att faststÀlla layouten av minnesadresser för att kringgÄ ASLR (Address Space Layout Randomization) skyddsmekanismen. Dessutom har verktyg under MIT-licens publicerats, utvecklade för analys och omvÀnd ingenjörskonst av mikroarkitekturlogik i CPU:er.
TvÄ metoder för att organisera attacken har föreslagits. Den första metoden baseras pÄ förvrÀngning av innehÄllet i bufferten för förutsÀgelse av indirekta hopp (IBP - Indirect Branch Predictor), som anvÀnds för att förutsÀga indirekta hopp i situationer dÀr adressen eller förskjutningen för hoppet Ànnu inte Àr kÀnd och berÀknas i instruktionerna som föregÄr hoppinstruationen. Den andra metoden berör bufferten för hoppingÄngar (BTB - Branch Target Buffer), som innehÄller information om nyligen intrÀffade hopp.
De identifierade sÄrbarheterna ger angriparen möjlighet att bestÀmma innehÄllet i posterna i buffrarna IBP och BTB, som innehÄller hoppadresser som anvÀnds i externa processer, samt att genomföra inmatningen av en godtycklig hoppadress i databufferttabelle. Resultatet blir att angriparen kan omdirigera exekveringsflödet för den externa processen till en önskad adress i minnet under den spekulativa exekveringen av instruktionerna. Efter att en felaktig förutsÀgelse har identifierats kommer resultatet av den spekulativa exekveringen att kasseras, men adresser och data som lÀsts frÄn minnet under den spekulativa exekveringen kommer att lagras i cachen och kan extraheras genom att anvÀnda nÄgon av metoderna för att bestÀmma innehÄllet i cachen baserat pÄ analys av Àndringarna i accesstiden för cachade och icke-cachade data. Att faststÀlla exakta adresser för indirekta hopp kan i praktiken anvÀndas för att kringgÄ ASLR-skyddsmekanismen.
KĂ€lla: opennet.ru
