هجوم Spectre-v2 BTR يكشف عن ذاكرة لينكس: تفاصيل جديدة

هجوم Spectre-v2 BTR يكشف عن ذاكرة لينكس على الرغم من الدفاعات الموجودة

أفاد مجموعة من الأكاديميين من VUSec ومدرسة سانت آنا العليا عن تفاصيل متعلقة بنوع جديد من ثغرات CPU Spectre، والتي تؤثر على محركات JIT الموجودة في متصفحات الويب، وبيئات البرمجة، ونواة نظام التشغيل، عبر عدة بائعي CPU.

متغير Spectre-v2 الجديد

تمت تسمية المتغير الجديد Spectre-v2 باسم إعادة استخدام هدف الفرع (BTR).

قال الباحثون ساندر ويبينغ، ويوهوي زو، وأليساندرو بيوندي، وكريستيان جيوفريدا في ورقة مرفقة: “الرؤية الرئيسية هي أنه، بينما تستعيد وحدات المعالجة المركزية الحديثة تماسك الشيفرة المعمارية بعد التعديل الذاتي، إلا أنها لا تلغي بالضرورة إدخالات توقع الفرع غير الصالحة (أي أهداف الفروع).”

“في محركات JIT، يمكن أن تدوم هذه الأهداف غير الصالحة أكثر من الشيفرة الأصلية وتُعاد استخدامها لاحقًا عند إعادة ملء ذاكرة التخزين المؤقت للشيفرة، مما يؤدي إلى إنشاء عملية تنفيذ مؤقتة بعد التحرير. وهذا يسمح للمهاجمين باختطاف تدفق التحكم المؤقت إلى الشيفرة التي تم إنشاؤها حديثًا عند إزاحة قديمة، متجاوزين بذلك الحماية البرمجية أو الوصول إلى أدوات غير متوافقة.”

تقييم BTR

تم تقييم BTR ضد SpiderMonkey (محرك JIT لمتصفح موزيلا فايرفوكس)، وGraalVM، وcBPF JIT لنواة لينكس، وقد تم العثور على جميعها متأثرة، على الرغم من “خصائص استغلال مختلفة بشكل ملحوظ ومعدلات تسرب مختلفة.”

كمثال عملي، تم تطوير هجومين شاملين ضد نواة لينكس يمكن استخدامهما لتسريب واستعادة تجزئة كلمة مرور الجذر في غضون دقائق من نظام Intel مُحدث بالكامل مع تفعيل الحماية الافتراضية.

ما هو Spectre؟

تشير Spectre إلى فئة من ثغرات أمان وحدات المعالجة المركزية التي تم اكتشافها لأول مرة في عام 2017، والتي تستغل التنفيذ التخميني، وهي تقنية تحسين أداء تستخدمها المعالجات الحديثة لتوقع وتنفيذ التعليمات مسبقًا.

يمكن للمهاجم استغلال هذه الثغرة لخداع وحدة المعالجة المركزية لأداء عمليات تخمينية تصل إلى بيانات حساسة، ثم استنتاج تلك البيانات من خلال قناة جانبية تعتمد على توقيت الذاكرة المؤقتة.

Spectre v2 هو نوع محدد من هجوم Spectre الذي يستغل توقع الفروع غير المباشرة في المعالجات الحديثة لتحقيق نفس الأهداف. على وجه التحديد، يقوم بتسميم آلية توقع الفروع لوحدة المعالجة المركزية للتسبب في تنفيذ برنامج ضحية لفرع غير مباشر، مما يؤدي بدوره إلى أن تخطئ وحدة المعالجة المركزية في توقع الفرع وتنفذ شيفرة أو أداة يتحكم فيها المهاجم بشكل تخميني.

على الرغم من أن نتائج الخطأ في التوقع يتم تجاهلها، يمكن للمهاجم استنتاج ما تم الوصول إليه من قبل تنفيذ الضحية التخميني من خلال الاستفادة من تغييرات حالة الذاكرة المؤقتة وقياس التغييرات في الذاكرة المؤقتة.

استنتاجات الباحثين

قال الباحثون: “يستهدف BTR محركات JIT وينشأ من التفاعل بين الشيفرة المعدلة ذاتيًا (SMC) وتوقع الفروع غير المباشرة، مضيفين، “تظهر محركات JIT فرص تنفيذ مؤقتة قابلة للاستغلال ناتجة عن SMC لأول مرة.”

يفترض الهجوم وجود مهاجم قادر على تشغيل شيفرة غير مميزة في محرك JIT ويسعى لكشف بيانات حساسة من بيئة المضيف. تتكون سلسلة الإجراءات بالكامل مما يلي:

• يجذب المهاجم محرك JIT لتخصيص قطعة تدريب ويجبر الفرع الضحية على القفز إليها، مما يُدخل إدخال BTB يشير إلى نقطة الدخول الحالية.
• يجبر المهاجم على إلغاء تخصيص قطعة التدريب وتخصيص قطعة الهدف التي تعيد استخدام نفس العنوان جزئيًا.
• يحفز المهاجم الفرع غير المباشر مرة أخرى، وتستخدم وحدة المعالجة المركزية الآن إدخال BTB غير الصالح وتقوم بالقفز بشكل تخميني إلى نقطة دخول قطعة التدريب القديمة.
• النتيجة النهائية هي اختطاف تدفق التحكم وكشف البيانات السرية.

“من خلال إعادة توجيه تدفق التحكم إلى نقطة دخول غير صالحة معماريًا، يمكن للمهاجم تجاوز تدابير الحماية ضد Spectre أو تنفيذ تعليمات غير متوافقة، مما يؤدي في النهاية إلى كشف البيانات السرية،” أوضح الباحثون.

ومع ذلك، فإن جانبًا رئيسيًا يعتمد عليه BTR هو أنه يجب عدم إلغاء إدخال BTB غير الصالح أو استبداله بعد أن يحرر محرك JIT قطعة التدريب، ويجب أن تختار وحدة توقع الفروع إدخال BTB غير الصالح للتوقع.

بعد الكشف المسؤول، تم إصدار تدابير للحد من BTR وتم دمجها في نواة لينكس (CVE-2026-64507 وCVE-2026-64508).

“بدلاً من ذلك، تعيق GraalVM إعادة استخدام المنطقة من خلال عشوائية مواقع ذاكرة التخزين المؤقت JIT،” قال الباحثون. “اعتبرت موزيلا تدابير قائمة على IBPB [حاجز توقع الفرع غير المباشر]، لكنها تعطي الأولوية حاليًا لإكمال ونشر عزل المواقع.”

يأتي الكشف بعد شهرين تقريبًا من كشف باحثي MIT CSAIL، دانييل تروخيو ومينججيا يان، عن تقنية هجوم تنفيذ تخميني تُسمى حقن المقاطعة التي يمكن أن تتجاوز دفاعات Spectre v2 وتكشف عن ذاكرة النواة العشوائية من أنظمة لينكس المعتمدة على Intel وAMD.