CVE-2023-1998

概要

Linuxカーネルは、ユーザープロセスがprctlをPR_SET_SPECULATION_CTRL付きで呼び出すことで緩和策を有効にできるようにしており、これにより投機的実行機能が無効化されるほか、seccompを使用する方法もあります。私たちは、少なくとも1つの大手クラウドプロバイダーのVM上で、prctlを使用してspectre-BTI緩和策を有効にした後でも、カーネルが被害プロセスを攻撃にさらしたままにするケースがあることに気付きました。同じ挙動は、ブートコマンドラインで緩和策をIBRSに強制した場合、ベアメタルマシンでも観察できます。これは、プレーンなIBRSが有効（拡張IBRSではない）の場合、カーネルにSTIBPが不要と判断するロジックが存在したために発生しました。IBRSビットは、スレッド間のブランチターゲットインジェクションに対しても暗黙的に保護します。しかし、レガシーIBRSでは、パフォーマンス上の理由からIBRSビットがユーザースペースへの復帰時にクリアされ、その結果、暗黙のSTIBPが無効化され、ユーザースレッドがSTIBPが防御するスレッド間ブランチターゲットインジェクションに対して脆弱なままとなりました。

• Linux Kernel 6.2 - Userspace Processes To Enable Mitigationエクスプロイト

  nu11secur1ty · linux · 2023/04/20