CVE-2023-1998

요약

Linux 커널은 사용자 공간 프로세스가 추측 실행 기능을 비활성화하는 PR_SET_SPECULATION_CTRL로 prctl을 호출하여 완화 조치를 활성화할 수 있게 하며, seccomp를 통해서도 이를 허용합니다. 우리는 적어도 한 주요 클라우드 제공업체의 VM에서, prctl로 spectre-BTI 완화 조치를 활성화한 후에도 커널이 일부 경우에 여전히 피해자 프로세스를 공격에 노출된 상태로 두는 것을 발견했습니다. 부팅 커맨드 라인에서 완화 조치를 IBRS로 강제할 때 베어메탈 머신에서도 동일한 동작이 관찰될 수 있습니다. 이것은 일반 IBRS(향상된 IBRS가 아닌)가 활성화되었을 때 커널에 STIBP가 필요하지 않다고 판단하는 로직이 있었기 때문에 발생했습니다. IBRS 비트는 크로스 스레드 브랜치 타깃 인젝션(cross-thread branch target injection)으로부터 암시적으로 보호합니다. 그러나 레거시 IBRS에서는 성능상의 이유로 사용자 공간으로 복귀할 때 IBRS 비트가 해제되었고, 이로 인해 암시적 STIBP가 비활성화되어 사용자 공간 스레드가 STIBP가 보호하는 크로스 스레드 브랜치 타깃 인젝션에 취약한 상태로 남게 되었습니다.

• Linux Kernel 6.2 - Userspace Processes To Enable Mitigation익스플로잇

  nu11secur1ty · linux · 2023. 4. 20.