Firmy takie jak Intel, AMD, Arm i IBM, a także dostawcy oprogramowania dotknięci są nowym atakiem, nazwanym GhostRace.
Zespół badaczy z IBM i Wolnego Uniwersytetu w Amsterdamie ujawnił tydzień temu szczegóły nowego rodzaju ataku, opartego na wycieku danych. Dotknął on wszystkich głównych producentów procesorów, a także niektóre szeroko stosowane oprogramowania.
Nowy atak, nazwany GhostRace, jest powiązany z tym, co badacze określają jako „spekulacyjne warunki wyścigu” (SRC).
Atak może pozwolić podmiotom zagrażającym uzyskać z pamięci potencjalnie wrażliwe informacje, jak hasła i klucze szyfrowania. Dobra informacja jest taka, że wymaga to fizycznego lub uprzywilejowanego dostępu do docelowej maszyny, a praktyczne wykorzystanie w większości przypadków nie jest proste.
O sytuacji „wyścigu” mówimy, gdy wiele wątków próbuje jednocześnie uzyskać dostęp do współdzielonego zasobu, co może spowodować powstanie luk w zabezpieczeniach. Można je wykorzystać do różnych celów, w tym do wykonania dowolnego kodu, ominięcia zabezpieczeń i uzyskania danych.
Systemy operacyjne używają synchronizacji, aby uniknąć warunków wyścigu, ale analiza bezpieczeństwa tych procesów przeprowadzona przez badaczy IBM i VU Amsterdam wykazała, że warunki wyścigu można połączyć z wykonaniem spekulacyjnym, techniką często wykorzystywaną w ostatnich latach w atakach na procesor.
Aby rozpocząć atak i wygrać wyścig spekulacyjny, wykonanie procesu ofiary musi zostać przerwane we właściwym miejscu i w nim utrzymane, aby umożliwić atakującemu wykonanie tego, co badacze określają jako „atak spekulacyjny połączony z jednoczesnym użyciem” (SCUAF).
Osiągnięto to za pomocą nowej techniki zwanej „burzą przerwań między procesami” (IPI), która polega na zalewaniu rdzenia procesora docelowego procesu.
Skanowanie gadżetów SCUAF w jądrze Linuksa doprowadziło do wykrycia prawie 1300 gadżetów, które można potencjalnie wykorzystać. Badacze zademonstrowali atak polegający na ujawnieniu informacji SCUAF na jądro Linuksa, w wyniku którego doszło do wycieku pamięci jądra na poziomie 12 kB/s.
Badanie skupiło się na architekturach x86 i Linuksie, ale eksperci potwierdzili, że problem dotyczy wszystkich głównych dostawców sprzętu, a także oprogramowania innego niż Linux.
Intel, AMD, Arm i IBM zostały powiadomione o ataku GhostRace pod koniec 2023 roku, a następnie poinformowały dostawców systemów operacyjnych i hypervisorów, wśród których podobno wszyscy potwierdzili problem.
Firma AMD opublikowała poradnik dla klientów, w którym informuje, że poprzednie wytyczne dotyczące ataków typu Spectre powinny pomóc również w zapobieganiu atakom GhostRace.
Twórcy hiperwizora Xen także opublikowali poradnik. Chociaż potwierdzono, że technicznie problem dotyczy wszystkich wersji Xen, w projekcie nie wykorzystano żadnych gadżetów, o których wiadomo, że są podatne na ataki GhostRace, a zespół ds. bezpieczeństwa Xen nie uważa, by konieczne było natychmiastowe działanie.
Programiści Linuksa wdrożyli funkcję ograniczania szybkości IPI, ale obecnie nie podejmują dalszych działań ze względu na problemy z wydajnością.
Identyfikator CVE-2024-2193 został przypisany do podstawowej luki GhostRace, a CVE-2024-26602 do IPI Storming. O innych skomplikowanych atakach piszemy tutaj.