TONTOU — en attack mot CPU:er från Intel och AMD som möjliggör att kringgå skydd mot sårbarheter i Spectre v2

Forskare från Massachusetts Institute of Technology har identifierat en angreppsteknik kallad TONTOU (Time-of-Neutralization to Time-of-Use), som erbjuder ett nytt sätt att utnyttja mikroarkitekturens sårbarheter av typen Spectre v2. Sårbarheten gör det möjligt att bestämma innehållet i kärnminnet under utförandet av en exploitering i användarutrymmet. Koden för att blockera utnyttjandet av sårbarheten togs in i Linux-kärnan den 5 augusti och inkluderades i versionerna 7.1.7, 6.18.43, 6.12.102, 6.6.149, 6.1.181, 5.15.214 och 5.10.263.

Forskare har visat att en lokal, icke-privilegierad användare kan utföra ett angrepp för att bestämma hash-tangenten för användaren root, som lagras i filen /etc/shadow och laddas in i minnet vid autentisering i systemet. Forskarna lyckades åstadkomma dataläckage från kärnminnet med en hastighet på 5,47 byte per sekund och en noggrannhet på 91,97%. Av 10 testkörningar av exploiten, som i genomsnitt pågick i 18 minuter, lyckades man i hälften av fallen identifiera närvaron av filen /etc/shadow i minnet och extrahera dess innehåll.

Exploiten demonstrerades på system med AMD-processorer och kan användas med CPU:er av AMD-familjerna Zen 1-4. På Intel-system är angreppet också möjligt, men exploateringen är mer komplicerad. För att skydda mot överflöde av returar adresser och blockera sårbarheten SRSO (Speculative Return Stack Overflow) används en skyddsmekanism kallad Safe-RET i AMD-processorer, som rensar bufferten för branch-prediktion efter varje användning och minskar fönstret för angreppet till 2 instruktioner, vilket tar några tiotals nanosekunder.

För att kringgå detta skydd och utöka fönstret för att genomföra en attack har tekniken för CPU-nedbromsning implementerats, vilket gör det möjligt att utföra insättningen av avbrottet vid rätt tillfälle för att omdirigera körflödet i kärnan och använda avbrottshanteraren för att förvränga posten i bufferten för förutsägelser av övergångar. För att utnyttja sårbarheten SRSO kan angriparen skapa förhållanden där blocket för förutsägelse av övergångar spekulativt utför ett stort antal felaktigt förutsagda anrop av CALL, tillräckligt för att fylla upp stacken av returadresser och skriva över korrekt förutsagda återvändo punkter som ligger i början av stacken. Som ett resultat kan de initiala elementen i stacken skrivas över med värden valda av angriparen, vilket senare leder till att dessa ersatta värden används vid spekulativt utförande av instruktionen RET i kontexten av en annan process.

Processorn kommer att fastställa att grentydning inte upprätthölls och rulla tillbaka operationen till sitt ursprungliga tillstånd, men de data som bearbetades under den spekulativa utförandet kommer att stanna i cachen och mikroarkitektoniska buffertar. Om det felaktigt utförda blocket gör en minnesreferens kommer dess spekulativa utförande att leda till att data stannar i den gemensamma cachen och data som lästes från minnet. En av metoderna för att extrahera information från cachen kan använda en analys av tillgångstiden till cachad och icke-cachad data.

Källa: opennet.ru