Mayhem - attack mot minnesbitar för att kringgå sudo- och OpenSSH-autentisering

Forskare från Worcester Polytechnic Institute (USA) har presenterat en ny typ av attack som kallas Mayhem, som använder Rowhammer dynamiska minnesbitvridningsmetod för att ändra värdena på variabler på stacken som används i programmet som flaggor för att avgöra om autentiseringen har lyckats eller inte och för att klara säkerhetskontroller. Praktiska exempel på hur attacken används för att kringgå autentisering i SUDO, OpenSSH och MySQL, samt för att ändra resultatet av säkerhetsrelaterade kontroller i OpenSSL-biblioteket.

Attacken kan tillämpas på applikationer som använder jämförelser av värden som skiljer sig från noll under kontroller. Exempel på sårbar kod: int auth = 0; … // kontrollkod som ändrar auth-värdet vid lyckad autentisering if(auth != 0) return AUTH_SUCCESS; else return AUTH_FAILURE;

I detta exempel kräver en lyckad attack att vilken bit som helst i minnet som motsvarar 32-bitars variabeln auth på stacken är korrupt. Om någon bit i variabeln är korrupt kommer värdet inte längre att vara noll och den villkorliga operatorn avgör om autentiseringen lyckades. Sådana verifieringsmönster är ganska vanliga i applikationer och finns till exempel i SUDO, OpenSSH, MySQL och OpenSSL.

Attacken kan också tillämpas på jämförelser av typen "if(auth == 1)", men i detta fall är den svårare att genomföra, eftersom det är nödvändigt att inte förvränga någon bit av 32, utan den sista biten. Metoden kan också användas för att påverka värdena på variabler i processorregister, eftersom innehållet i registren tillfälligt kan dumpas till stacken vid kontextbyte, anrop av funktioner eller utlösning av en signalhanterare. Under den tid som registervärdena finns i minnet kan detta minne förvrängas och det ändrade värdet återställs till registret.

För att förvränga bitar används en av modifieringarna av RowHammer-klassattacken. Eftersom DRAM-minne är en tvådimensionell matris av celler, som var och en består av en kondensator och en transistor, leder kontinuerlig läsning av samma minnesområde till spänningsfluktuationer och avvikelser som orsakar en liten laddningsförlust i angränsande celler. Om läsintensiteten är hög kan den angränsande cellen förlora en tillräckligt stor mängd laddning och nästa regenereringscykel kommer inte att ha tid att återställa sitt ursprungliga tillstånd, vilket kommer att leda till en förändring av värdet på data som lagras i cellen. För att skydda mot RowHammer har chiptillverkare lagt till TRR-mekanismen (Target Row Refresh), som blockerar cellförvrängning i speciella fall, men inte skyddar mot alla möjliga attackvarianter.

För att skydda mot Mayhem-attacken rekommenderas det att använda en matchningskontroll med ett slumpmässigt frövärde med oktetter som inte är noll, istället för en utvärdering av skillnader från noll eller matchningar med ett i jämförelser. I det här fallet, för att ställa in önskat värde för variabeln, är det nödvändigt att noggrant förvränga ett betydande antal bitar, vilket är orealistiskt, till skillnad från att förvränga en enda bit. Ett exempel på kod som inte är mottaglig för attacker: int auth = 0xbe406d1a; … // verifieringskod som ställer in auth-värdet till 0x23ab8701 vid lyckad autentisering if(auth == 0x23ab8701) return AUTH_SUCCESS; else return AUTH_FAILURE;

Den angivna skyddsmetoden har redan tillämpats av sudo-utvecklare och inkluderades i version 1.9.15 som en åtgärd för sårbarheten CVE-2023-42465. Prototypkoden för attacken planeras att publiceras efter att korrigeringar har gjorts för de huvudsakliga sårbara projekten.

Källa: opennet.ru