Lỗ hổng bảo mật TONTOU: Vượt rào Spectre v2, đe dọa rò rỉ dữ liệu nhạy cảm trên chip Intel và AMD

Theo tin từ IT ngày 7 tháng 8, trang tin công nghệ BleepingComputer hôm qua (6 tháng 8) đã đăng tải bài viết cho biết Phòng thí nghiệm Khoa học Máy tính và Trí tuệ Nhân tạo (CSAIL) thuộc MIT vừa tiết lộ về cuộc tấn công TONTOU, có khả năng vượt qua một số biện pháp giảm thiểu Spectre v2 trên các bộ vi xử lý của AMD và Intel.

Cuộc tấn công này có tên đầy đủ là Time-of-Neutralization to Time-of-Use (Thời điểm trung hòa đến thời điểm sử dụng), được phát hiện bởi nghiên cứu sinh tiến sĩ Daniël Trujillo và Phó giáo sư Mengjia Yan. Nó có thể vượt qua các biện pháp giảm thiểu gần đây được sử dụng để phòng chống Spectre v2 và làm rò rỉ dữ liệu nhạy cảm từ các máy chạy Linux.

IT dẫn nguồn từ bài viết cho biết, Spectre v2 còn được gọi là BTI (Branch Target Injection - Tiêm mục tiêu nhánh), là một biến thể thuộc nhóm lỗ hổng Spectre.

Lỗ hổng này khai thác bộ dự đoán nhánh gián tiếp của bộ vi xử lý, dụ dỗ bộ vi xử lý dự đoán sai mục tiêu nhánh gián tiếp, từ đó thực hiện các thao tác suy đoán dọc theo đường dẫn mã do kẻ tấn công tác động.

Các bộ vi xử lý hiện đại sử dụng dự đoán nhánh để suy đoán đường dẫn thực thi có khả năng xảy ra cao nhất và thực hiện trước các lệnh liên quan trước khi kết quả nhánh được xác nhận. Spectre v2 cho phép kẻ tấn công thao túng bộ dự đoán nhánh gián tiếp của CPU, khiến bộ vi xử lý thực thi các lệnh suy đoán tại vị trí do kẻ tấn công chỉ định, từ đó làm lộ dữ liệu nhạy cảm.

Các nhà nghiên cứu cho biết, TONTOU có thể vượt qua các cơ chế phòng thủ Spectre v2 dựa vào việc làm sạch hoặc cô lập bộ dự đoán nhánh. Các cơ chế này được các nhà nghiên cứu gọi chung là các biện pháp giảm thiểu dựa trên trung hòa (neutralization-based mitigations), bao gồm eIBRS (Enhanced Indirect Branch Restricted Speculation) của Intel và Safe RET (Safe Return) của AMD.

Các biện pháp phòng thủ này tồn tại một khoảng thời gian trống giữa lúc bộ dự đoán nhánh được cô lập và lúc nhánh nạn nhân sử dụng bộ dự đoán. Các biện pháp giảm thiểu Spectre v2 hiện tại giả định rằng kẻ tấn công không thể khai thác khoảng thời gian giữa việc làm sạch trạng thái bộ dự đoán nhánh và việc sử dụng trạng thái đó. Các nhà nghiên cứu đã giới thiệu một nguyên hàm (primitive) có thể làm ô nhiễm lại trạng thái CPU sau khi đã làm sạch và trước khi sử dụng.

Trujillo chia sẻ với BleepingComputer rằng kẻ tấn công không cần đặc quyền đặc biệt vẫn có thể đọc bất kỳ bộ nhớ hệ thống nào, bao gồm cả các dữ liệu nhạy cảm như mật khẩu băm.

Các nhà nghiên cứu đã phát triển cuộc tấn công tiêm ngắt (Interrupt Injection). Một chương trình người dùng không có đặc quyền có thể sắp xếp các ngắt bộ định thời (timer interrupt) để kích hoạt trong quá trình thực thi nhân (kernel). Các nhà nghiên cứu giải thích rằng điều này có thể buộc nhân hệ điều hành nhảy đến trình xử lý ngắt và sử dụng trình xử lý đó để làm ô nhiễm trạng thái vi kiến trúc trong khoảng thời gian sau khi đã trung hòa.

Trên các máy chủ AMD Zen 2 đã triển khai các biện pháp giảm thiểu Spectre v2 mới nhất, 2 nhà nghiên cứu đã xác thực hoàn chỉnh chuỗi tấn công TONTOU, bao gồm các bước: trung hòa, chuyển hướng, làm ô nhiễm và sử dụng bộ dự đoán nhánh đã bị làm ô nhiễm.

Cuộc tấn công đã được thử nghiệm trên các bộ vi xử lý của Intel và AMD. Trên hệ thống AMD Zen 2 chạy Linux 6.14.0-37-generic, trang bị 16GB RAM, các nhà nghiên cứu cho thấy cuộc tấn công có thể làm rò rỉ bộ nhớ nhân tùy ý với tốc độ 5,47 bytes/s và độ chính xác 91,97%, bao gồm cả nội dung tệp /etc/shadow (nơi lưu trữ mật khẩu băm). Trong 10 lần thử nghiệm, cuộc tấn công đã thành công 5 lần trong việc định vị và trích xuất tệp này, với thời gian trung bình cho mỗi lần thử là 18 phút.

Tham khảo

TONTOU: On the Exploitability of Time-of-Neutralization to Time-of-Use Windows

Tuyên bố quảng cáo: Các liên kết chuyển hướng bên ngoài trong bài viết (bao gồm nhưng không giới hạn ở siêu liên kết, mã QR, mật khẩu, v.v.) được sử dụng để truyền tải thêm thông tin, tiết kiệm thời gian sàng lọc, kết quả chỉ mang tính chất tham khảo. Các bài viết của IT có chứa liên kết ngoài đều bao gồm tuyên bố này.