SLAM - en attack på Intel, AMD och ARM-processorer som låter dig bestämma innehållet i minnet

En grupp forskare från Vrije Universiteit Amsterdam presenterade en ny attackteknik, SLAM (Spectre Linear Address Masking), som erbjuder ett nytt sätt att utnyttja mikroarkitektoniska sårbarheter i Spectre-klassen, där dataläckage uppstår under översättningen av icke-kanoniska adresser, och linjära adressmaskeringstillägg som tillhandahålls i nya processorer används för att kringgå kanonicitetskontroller. Forskarna publicerade en verktygslåda med en implementering av metoden och erbjöd en demonstration som visar hur data som matchar en viss mask kan extraheras från kärnminne (visas som några tiotals sekunder i ... Ubuntu allokera en sträng med root-användarens lösenordshash från kärnminnet).

Attacken kan utföras på system med Intel-processorer som stöder LAM-tillägget (Linear Address Masking), AMD-processorer med UAI-tillägget (Upper Address Ignore) och ARM-processorer med TBI-tillägget (Top Byte Ignore). Dessa tillägg gör det möjligt att använda vissa bitar i 64-bitarspekare för att lagra icke-adresserbara metadata (vanliga program behöver inte lika mycket minne som 64-bitarspekare kan adressera, så de övre bitarna kan användas för säkerhetsrelaterade kontroller). Intressant nog har Intel-, AMD- och ARM-processorer med stöd för LAM, UAI och TBI precis tillkännagivits men är inte i massproduktion, vilket gör SLAM till den första spekulativa attacken mot framtida processorer. Attacken kan också utföras på äldre AMD Zen+ och Zen 2-processorer som drabbats av sårbarheten CVE-2020-12965.

I likhet med utnyttjandet av Spectre-sårbarheterna kräver SLAM-attacken närvaron av vissa instruktionssekvenser (gadgets) i kärnan som leder till spekulativ exekvering av instruktioner. Sådana instruktioner leder till spekulativ läsning av data från minnet beroende på externa förhållanden som kan påverkas av angriparen. Efter att en felaktig förutsägelse har fastställts, kasseras resultatet av den spekulativa exekveringen, men den bearbetade datan finns kvar i cachen och kan sedan extraheras med hjälp av sidokanalanalys. För att extrahera data som har lagt sig i cachen använder forskarna Evict+Reload-metoden, som baseras på att skapa villkor för att förflytta data från cachen (till exempel att skapa en aktivitet som jämnt fyller cachen med typiskt innehåll) och utföra operationer vars exekveringstid gör det möjligt för oss att bedöma närvaron av data i processorns cache.

För att utföra en SLAM-attack används gadgets baserade på kod där angriparkontrollerad data (nedan variabeln "secret") används som en pekare. Till exempel: void unmasked_gadget(long **secret) { **secret; }

Det noteras att sådana kodmönster ofta används i program, till exempel i kärnan Linux Tiotusentals sådana prylar har identifierats, varav minst flera hundra är lämpliga för utnyttjande. Läckan kan blockeras genom att lägga till ytterligare instruktioner till sådana prylar som blockerar spekulativ exekvering. Intel avser att tillhandahålla en mjukvarumetod för att blockera läckan innan LAM-aktiverade processorer börjar levereras. AMD rekommenderade att man använder befintliga metoder för att blockera Spectre v2-attacker. Kärnutvecklare Linux För att skydda sig mot attacken beslutade de att inaktivera LAM-stöd som standard tills Intel publicerade rekommendationer om att blockera sårbarheten.

Källa: opennet.ru