Pesquisadores de segurança cibernética divulgaram o que dizem ser a “primeira exploração nativa do Spectre v2” contra o kernel Linux em sistemas Intel que poderia ser explorada para ler dados confidenciais da memória.
A exploração, chamada Native Department Historical past Injection (BHI), pode ser usada para vazar memória arbitrária do kernel a 3,5 kB/s, ignorando as mitigações existentes do Spectre v2/BHI, disseram pesquisadores do Programs and Community Safety Group (VUSec) da Vrije Universiteit Amsterdam em um novo estudo.
A deficiência está sendo rastreada como CVE-2024-2201.
O BHI foi divulgado pela primeira vez pela VUSec em março de 2022, descrevendo-o como uma técnica que pode contornar as proteções Spectre v2 em processadores modernos da Intel, AMD e Arm.
Embora o ataque tenha aproveitado filtros de pacotes Berkeley estendidos (eBPFs), as recomendações da Intel para resolver o problema, entre outras coisas, foram desabilitar os eBPFs sem privilégios do Linux.
“Tempos de execução gerenciados com privilégios que podem ser configurados para permitir que um usuário sem privilégios gere e execute código em um domínio privilegiado – como o 'eBPF sem privilégios' do Linux – aumentam significativamente o risco de ataques de execução transitórios, mesmo quando as defesas contra o modo intra ( Department Goal Injection) estão presentes”, disse a Intel na época.
“O kernel pode ser configurado para negar acesso ao eBPF sem privilégios por padrão, enquanto ainda permite que os administradores o habilitem em tempo de execução quando necessário.”
O Native BHI neutraliza essa contramedida mostrando que o BHI é possível sem eBPF. Ele afeta todos os sistemas Intel suscetíveis ao BHI.
Como resultado, permite que um invasor com acesso aos recursos da CPU influencie caminhos de execução especulativos por meio de software program malicioso instalado em uma máquina com o objetivo de extrair dados confidenciais associados a um processo diferente.
“As técnicas de mitigação existentes para desabilitar o eBPF privilegiado e habilitar o (Positive)IBT são insuficientes para impedir a exploração do BHI contra o kernel/hipervisor”, disse o Centro de Coordenação CERT (CERT/CC) em um comunicado.
“Um invasor não autenticado pode explorar esta vulnerabilidade para vazar memória privilegiada da CPU, saltando especulativamente para um gadget escolhido.”
Foi confirmado que a falha afeta Illumos, Intel, Pink Hat, SUSE Linux, Triton Knowledge Heart e Xen. A AMD, em boletim, disse estar “consciente de qualquer impacto” em seus produtos.
A divulgação ocorre semanas depois que a IBM e a VUSec detalharam o GhostRace (CVE-2024-2193), uma variante do Spectre v1 que emprega uma combinação de execução especulativa e condições de corrida para vazar dados de arquiteturas de CPU contemporâneas.
Ele também segue uma nova pesquisa da ETH Zurich que revelou uma família de ataques chamada Ahoi Assaults que poderia ser usada para comprometer ambientes de execução confiáveis (TEEs) baseados em {hardware} e quebrar máquinas virtuais confidenciais (CVMs) como AMD Safe Encrypted Virtualization-Safe Nested Paging ( SEV-SNP) e extensões de domínio de confiança Intel (TDX).
Os ataques, codinomes Heckler e WeSee, fazem uso de interrupções maliciosas para quebrar a integridade das CVMs, potencialmente permitindo que os agentes da ameaça façam login remotamente e obtenham acesso elevado, bem como executem leitura, gravação e injeção de código arbitrárias para desabilitar regras de firewall e abra um shell raiz.
“Para ataques Ahoi, um invasor pode usar o hipervisor para injetar interrupções maliciosas nas vCPUs da vítima e induzi-la a executar os manipuladores de interrupção”, disseram os pesquisadores. “Esses manipuladores de interrupção podem ter efeitos globais (por exemplo, alterar o estado do registro no aplicativo) que um invasor pode acionar para comprometer o CVM da vítima”.
Em resposta às descobertas, a AMD disse que a vulnerabilidade está enraizada na implementação do SEV-SNP no kernel Linux e que as correções que abordam alguns dos problemas foram transferidas para o kernel Linux principal.
