В процессорах Intel, AMD и Arm нашли новую версию уязвимости Spectre v2 — она угрожает утечкой паролей и других данных
Исследователи из Нидерландов и Италии обнаружили в современных процессорах новую разновидность уязвимости класса Spectre v2 — она затрагивает системы с чипами Intel, AMD и Arm. Атака Branch Target Reuse (BTR) нацелена на работающие на лету JIT-компиляторы, которые используются ядрами ОС, браузерами и средами исполнения.
Злоумышленник, способный выполнять код на целевой машине, может использовать BTR, чтобы украсть из памяти конфиденциальные данные, например, хеши паролей. Теоретически возможны атаки с вредоносных веб-страниц, хотя исследователи пока не создали полноценного эксплойта для браузеров. Атака BTR оказалась возможной из-за особенностей обработки процессорами кода, который меняется во время выполнения: восстанавливая архитектурную согласованность кода после его самомодификации, они могут сохранять устаревшие записи предсказания косвенных переходов. В JIT-движках такие устаревшие предсказания могут сохраняться дольше, чем код, для которого они были созданы, — и их можно использовать повторно, когда по тем же адресам записан новый код. Возникает эффект «спекулятивного выполнения после освобождения памяти»: спекулятивное выполнение направляется на новый код с использованием устаревших смещений.
Исследователи проанализировали подсистему cBPF в Linux, среду выполнения Oracle GraalVM и движок SpiderMonkey, который используется Firefox для jаvascript и WebAssembly; были разработаны два полноценных эксплойта для ядра Linux. В них используется механизм классического BPF — cBPF. Доступ к современному JIT-компилятору eBPF есть только у привилегированных пользователей, а у предшествующего cBPF возможности более ограничены, но и доступ есть у непривилегированных программ. На этом компиляторе выполняется механизм Seccomp, происходит фильтрация сокетов и пакетов Docker и Chrome. В случае современных процессоров Intel этот эксплойт позволяет считывать из памяти произвольные данные, обходя все активные механизмы защиты. Даже при скорости считывания 8 байт/с при грамотном отслеживании цепочек указателей можно добраться до закрытой информации — исследователи сумели считать хеш пароля суперпользователя (root) после его загрузки в память.
В случае с Firefox атака инициируется через вредоносный сайт, который запускает в браузере пользователя код jаvascript. Разработчики Mozilla пока не завершили развёртывание механизма изоляции сайтов, так что содержимое всех вкладок может оказаться в одном адресном пространстве с кодом злоумышленника, и уязвимыми оказываются все данные. При экспериментальной реализации атаки выяснилось, что в движке SpiderMonkey на процессорах Intel устаревшие записи о ветвлении сохраняются достаточно долго, и их можно использовать повторно — скорость утечки данных может достигать нескольких десятков байтов в секунду, но полноценный эксплойт для браузера ещё не разработан.
В GraalVM атака BTR даёт злоумышленнику возможность спекулятивно обойти механизм маскировки памяти, предназначенный для защиты среды выполнения от уязвимостей класса Spectre. Исследователи смогли добиться повторного использования адресов памяти, хотя собственные процессы компиляции кода и сборки мусора в GraalVM стирали записи о ветвлении ещё до того, как появлялась возможность их использовать — но это ограничение «не является фундаментальным», считают исследователи.
Разработчики ПО признали результаты исследования. Нейтрализовать угрозу можно программно, например, при помощи барьера предсказания косвенных переходов (IBPB). В ядре Linux внедрили механизм защиты для архитектуры x86 — он запускает IBPB всякий раз, когда cBPF размещается в области памяти, ранее использовавшейся для выполнения кода BPF. Защитные меры развернули в Oracle, а в Mozilla решили уделить больше времени реализации изоляции сайтов.
Эксплуатацию уязвимости усложняют аппаратные средства защиты потока управления, такие как IBT на x86 и BTI на Arm, но не устраняют угрозу полностью. Старые процессоры Intel по-прежнему могут спекулятивно выполнять инструкции до того, как проверка IBT окончательно отработает, что создаёт окно для использования BTR. Такое поведение исчезло только с архитектурой Lion Cove (чипы Core Ultra 200 серий Arrow Lake и Lunar Lake). Но даже в отсутствие «обгона» процессором механизма IBT, защиту можно обойти при отключённом методе маскировке констант.
В AMD отметили, что новых уязвимостей в чипах компании выявлено не было, и описанный метод BTR нейтрализуется с помощью уже существующих рекомендаций по защите от атак класса Spectre v2; в Intel и Arm комментариев пока не дали.