Forskare frĂ„n ETH ZĂŒrich, i samarbete med ingenjörer frĂ„n Google, har utvecklat en ny typ av Rowhammer-attack â Phoenix (CVE-2025-6202), som möjliggör att kringgĂ„ skyddsmekanismer som TRR (Target Row Refresh) som anvĂ€nds i DDR5-minnen, och förhindrar förvrĂ€ngning av minnesceller pĂ„ grund av laddningsförlust. En prototyp av ett exploit har offentliggjorts, vilket gör det möjligt att Ă€ndra innehĂ„llet i en specifik bit i RAM-minnet och uppnĂ„ högre privilegier i systemet. Attacken demonstrerades pĂ„ en PC med en AMD-processor baserad pĂ„ Zen 4-mikroarkitektur och DDR5-minne frĂ„n SK Hynix, som utförde typiska desktopuppgifter.
RowHammer-attacken möjliggör förvrÀngning av innehÄllet i enskilda bitar av DRAM-minne genom cykliskt lÀsande av data frÄn angrÀnsande minnesceller. Eftersom DRAM-minnet utgörs av en tvÄdimensionell matris av celler, dÀr varje cell bestÄr av en kondensator och en transistor, leder kontinuerligt lÀsande av samma minnesomrÄde till spÀnningsfluktuationer och anomalier som orsakar en liten laddningsförlust i angrÀnsande celler. Om lÀsintensiteten Àr hög kan den angrÀnsande cellen förlora en tillrÀckligt stor mÀngd laddning sÄ att den efterföljande regenereringscykeln inte hinner ÄterstÀlla dess ursprungliga tillstÄnd, vilket leder till en förÀndring av det lagrade datavÀrdet i cellen.
Rowhammer-attackmetoden föreslogs 2014, vilket inledde ett katt-och-rĂ„tta-spel mellan sĂ€kerhetsforskare och hĂ„rdvarutillverkare â minnesproducenterna försökte blockera sĂ„rbarheten, medan forskarna hittade nya sĂ€tt att kringgĂ„ den. Till exempel, för att skydda mot RowHammer lade minnestillverkarna till TRR (Target Row Refresh), men det visade sig att den endast blockerar förvrĂ€ngning av celler i vissa fall och inte skyddar mot alla möjliga angriparalternativ. Angreppsmetoder har utvecklats för DDR3-, DDR4- och DDR5-chip pĂ„ system med Intel-, AMD- och ARM-processorer, samt för videominne som anvĂ€nds i NVIDIA-grafikkort. Dessutom har det hittats sĂ€tt att kringgĂ„ felkorrigeringar av ECC och föreslagits angrepp via nĂ€tverk och genom att köra JavaScript-kod i webblĂ€saren.
En nyckelfaktor för att kringgÄ skyddet mot förvrÀngning av minnesceller i DRAM Àr förstÄelsen av hur TRR-mekanismen fungerar, som frÀmst förlitar sig pÄ att dölja implementationsdetaljer och principen "sÀkerhet genom otydlighet" (security by obscurity). För att förstÄ logiken bakom TRR och utföra omvÀnd ingenjörskonst har forskare skapat speciella kretskort baserade pÄ FGPA Arty-A7 och ZCU104, som möjliggör testning av DDR5 SO-DIMM och RDIMM-minnesmoduler, identifiering av mönster i Ätkomsten till minnesceller, bestÀmning av vilka lÄgnivÄ-DDR-kommandon som överförs efter programoperationer med minnet och analys av reaktionen pÄ dem.
Det visar sig att skyddet i de analyserade DDR5-chipsen implementerades utan ytterligare kommandon för att styra uppdateringsfrekvensen av minnet och förlitar sig pÄ scheman med varierande laddningsfrekvens av cellerna. För att framgÄngsrikt utföra en Rowhammer-attack under dessa förhÄllanden krÀvs exakt spÄrning av tusentals operationer för att uppdatera cellerna. Under dessa omstÀndigheter visade sig de tidigare existerande metoderna för Rowhammer-attack vara oanvÀndbara, och forskarna utvecklade en ny metod som genomför sjÀlvkorrigering av Ätkomstmönster nÀr de upptÀcker missade minnesuppdateringsoperationer under attacken.
Metoden visade sig vara effektiv och under testerna gjorde den det möjligt att uppnÄ kontrollerad bitförvrÀngning av minnet pÄ samtliga 15 testade DDR5-chips frÄn SK Hynix (som stÄr för 36% av DRAM-marknaden), tillverkade frÄn slutet av 2021 till slutet av 2024. En bitförvrÀngning visade sig vara tillrÀcklig för att skapa en exploit som möjliggjorde root-Ätkomst i systemet nÀr attacken genomfördes pÄ en dator med CPU AMD Ryzen 7 7700X och minne SK Hynix DDR5 under 109 sekunder. För att blockera den föreslagna attackmetoden rekommenderas att öka minnesuppdateringsfrekvensen tre gÄnger.
Som metoder för att exploatera möjlighet till att fÄ root-rÀttigheter genom att förvrÀnga en bit övervÀgdes följande tekniker: Àndring av innehÄllet i registren i minnestabeller (PTE, page table entry) för att fÄ kÀrnprivilegier; skada den öppna RSA-2048-nyckeln som lagras i minnet i OpenSSH (den öppna nyckeln kan matchas med angriparens privata nyckel för att ansluta till offrets VM); kringgÄ auktorisationskontroller genom att modifiera minnet i sudo-processen. Metoden med PTE visade sig fungera pÄ alla 15 testade chips, attacken via RSA lyckades genomföras pÄ 11 chips, och via sudo pÄ 5. en virtuell maskin och gör det möjligt för angriparen att fÄ root-Ätkomst pÄ offrets VM).
I exploiten för placering av minnessidetabeller i valda DRAM-celler anvÀnds tekniken Rubicon, som avslöjades samtidigt med den aktuella Phoenix-attacken. Rubicon manipulerar med egenskaperna för optimering i minnesallokeringssystemet i Linux-kÀrnan och gör det möjligt att allokera minne i omrÄden med ett annat 'migratetype'-vÀrde som Àr reserverat för privilegierade operationer. Problemet har bekrÀftats i Linux-kÀrnor frÄn version 5.4 till 6.8, men teoretiskt omfattar sÄrbarheten alla kÀrnor med Zoned Buddy Allocator-minnesallokeringsmekanismen.
Förutom att förenkla genomförandet av Rowhammer-attacker, kan Rubicon-tekniken ocksÄ anvÀndas för att öka effektiviteten av mikroarkitekturattacker, sÄsom Spectre, och underlÀtta identifieringen av placeringen av kÀnsliga data i minnet som behöver extraheras genom lÀckor vid spekulativ körning av instruktioner. Rubicon gör att man kan undvika en lÄng skanningsfas av minnet och identifiering av filer, sÄsom /etc/shadow. IstÀllet kan mikroarkitekturens sÄrbarheter utnyttjas omedelbart tack vare att filen Àr förutbestÀmd pÄ en kÀnd fysisk adress. Till exempel gjorde anvÀndningen av Rubicon-metoden det möjligt att pÄskynda datalÀckage pÄ ett system med en Intel i7-8700K-CPU frÄn 2698 sekunder till 9,5 sekunder (284 gÄnger), och pÄ en AMD EPYC 7252-CPU frÄn 189 sekunder till 27,9 sekunder (6,8 gÄnger).
Under tiden har en annan forskargrupp frÄn George Mason University demonstrerat tillÀmpligheten av Rowhammer-attacker för att kompromettera AI-system. Forskarna har föreslagit metoden OneFlip, som möjliggör punktvis förÀndring av beteendet hos AI-modeller genom att förvrÀnga 1 bit information i minnet. Ett exempel pÄ kod Àr tillgÀngligt för att substituera ett trojanerbyte i ett neuralt nÀtverk. Det har visats hur en enkel bitÀndring kan anvÀndas för att förvrÀnga autopilotmodellens funktion sÄ att den tolkar stoppskylten som en hastighetsbegrÀnsning. Metoden har ocksÄ övervÀgts för att kringgÄ ansiktsigenkÀnningssystem. För modeller som lagrar vikter i form av 32-bitars heltal bedöms attackens framgÄng till 99,9 % utan att pÄverka modellens ursprungliga egenskaper.
KĂ€lla: opennet.ru
