Forskare frÄn Seoul National University och Samsung har utvecklat en attackteknik för ARM-processorer, kodnamn TikTag, som kan anvÀndas för att kringgÄ den hÄrdvarubaserade skyddsmekanismen MemTag (MTE, Memory Tagging Extension) som finns i chip baserade pÄ ARMv8.5-A-arkitekturen. Attacken gör det möjligt att faststÀlla innehÄllet pÄ TikTag-taggar för godtyckliga minnesadresser pÄ grund av datalÀckor som uppstÄr vid spekulativ exekvering av CPU-instruktioner.
MemTag-tekniken möjliggör att koppla taggar till minnesomrÄden och organisera kontroll av pekarens korrekthet för att blockera utnyttjande av sÄrbarheter som orsakas av Ätkomst till redan frigivna minnesblock, buffertöverflöd och Ätkomst före initialisering. Vid anvÀndning av MemTag skapas en 4-bitars tagg för varje 16 byte fysisk minne, som fungerar som en nyckel för Ätkomst till detta minne. Taggen kan genereras av applikationen för det allokerade minnesomrÄdet med hjÀlp av speciella CPU-instruktioner och sedan lagras i de övre, oanvÀnda bitarna av pekaren. NÀr minnet nÄs med hjÀlp av en taggad pekare, kontrollerar processorn överensstÀmmelsen mellan taggen kopplad till pekaren och de taggar kopplade till minnesblocken och tillÄter Ätkomst endast om taggarna matchar.
Den föreslagna attackmetoden gör det möjligt att bestÀmma de taggar som Àr kopplade till minnesblock och kringgÄ MemTag-skyddet. Forskare har visat att TikTag-attacken kan genomföras genom att utnyttja sÄrbarheter i Linux-kÀrnan och webblÀsaren Chrome med hjÀlp av befintliga sekvenser av instruktioner (gadgets) i dessa produkter som leder till spekulativ exekvering av kod. Lika gadgets, nÀr de körs i spekulativt lÀge med kod som arbetar med pekare, orsakar lÀsning av MemTag-metadata beroende pÄ externa förhÄllanden som kan pÄverkas av angriparen. Efter att en felaktig prognos har faststÀllts kasseras resultatet av den spekulativa exekveringen, men de erhÄllna data förblir i cachen och kan sedan extraheras genom analys via sidokanaler. Sannolikheten för att framgÄngsrikt kringgÄ MemTag-skyddet i genomförda tester bedömdes till 95% under en attack som pÄgick i cirka 4 sekunder.
TvÄ typer av gadgets som kan leda till lÀckage av information om MemTag-taggar har identifierats. I det första fallet uppstÄr spekulativ exekvering vid felaktig övergÄngsförutsÀgelse, och förutsÀttningar för gadgetens exekvering kan skapas genom manipulation av systemanrop. I det andra fallet
uppstÄr spekulativ exekvering pÄ grund av ett fel i förutsÀgelsen av relationen mellan lÀs- och skrivoperationer vid anvÀndning av STLF-optimering (Store-To-Load-Forwarding), vilket gör att taggen kan vÀljas genom att utvÀrdera cachetillstÄndet (om taggen matchar, kommer vÀrdet att omdirigeras direkt frÄn den tidigare 'store'-kommandot till 'load'-operationen och Àndra cachetillstÄndet). Den första typen av gadgets Àr lÀmplig för attacker mot Linux-kÀrnan, och den andra mot JavaScript-motorn V8 som anvÀnds i Chromium-baserade webblÀsare. Prototypen av verktygen för att genomföra attacken publicerades pÄ GitHub.
Företaget ARM bekrÀftade möjligheten till attacker pÄ system med processorer Cortex-X2, Cortex-X3, Cortex-A510, Cortex-A520, Cortex-A710, Cortex-A715 och Cortex-A720, men har inga planer pÄ att göra Àndringar i CPU:erna för att blockera problemet, eftersom MemTag-arkitekturen implicerar att taggarna inte Àr hemliga data för applikationer. Det finns fortfarande ingen lösning pÄ problemet i Chromium-koden, eftersom skyddet baserat pÄ MemTag för nÀrvarande inte tillÀmpas som standard i webblÀsaren Chrome. Teamet som ansvarar för sÀkerheten pÄ plattformen Android erkÀnde möjligheten till attacker pÄ Pixel 8-enheter som anvÀnder MemTag-skyddet, har lagt till fixar för att blockera lÀckor och uttryckt viljan att betala belöningar för upptÀckta sÄrbarheter.
Som en omvÀg för att blockera attacken föreslÄr forskarna att anvÀnda instruktioner sb eller isb för att förbjuda spekulativ exekvering under kritiska minnesoperationer eller inkludera fyllning frÄn andra instruktioner mellan greninstruktioner och minnesÄtkomstinstruktioner.
KĂ€lla: opennet.ru
