Investigadores de ciberseguridad han revelado lo que dicen es el «primer exploit nativo de Spectre v2» contra el kernel de Linux en sistemas Intel que podría explotarse para leer datos confidenciales de la memoria.
El exploit, llamado Native Branch History Inyección (BHI), se puede utilizar para filtrar memoria arbitraria del kernel a 3,5 kB/seg evitando las mitigaciones existentes de Spectre v2/BHI, dijeron investigadores del Grupo de Seguridad de Redes y Sistemas (VUSec) de la Vrije Universiteit Amsterdam en un nuevo estudio.
La deficiencia se rastrea como CVE-2024-2201 .
BHI fue divulgado por primera vez por VUSec en marzo de 2022 y lo describió como una técnica que puede sortear las protecciones Spectre v2 en procesadores modernos de Intel, AMD y Arm.
Si bien el ataque aprovechó los filtros de paquetes Berkeley (eBPF) extendidos, las recomendaciones de Intel para abordar el problema, entre otras cosas, fueron desactivar los eBPF sin privilegios de Linux.
«Los tiempos de ejecución administrados privilegiados que se pueden configurar para permitir que un usuario sin privilegios genere y ejecute código en un dominio privilegiado, como el ‘eBPF sin privilegios’ de Linux, aumentan significativamente el riesgo de ataques de ejecución transitoria, incluso cuando las defensas contra el modo intra-modo [ Branch Target Inyección] están presentes», dijo Intel en ese momento.
«El kernel se puede configurar para denegar el acceso a eBPF sin privilegios de forma predeterminada, al mismo tiempo que permite a los administradores habilitarlo en tiempo de ejecución cuando sea necesario».
BHI nativo neutraliza esta contramedida al mostrar que BHI es posible sin eBPF. Afecta a todos los sistemas Intel que son susceptibles a BHI.
Como resultado, hace posible que un atacante con acceso a los recursos de la CPU influya en rutas de ejecución especulativas a través de software malicioso instalado en una máquina con el objetivo de extraer datos confidenciales asociados con un proceso diferente.
«Las técnicas de mitigación existentes para deshabilitar eBPF privilegiado y habilitar (Fine)IBT son insuficientes para detener la explotación de BHI contra el kernel/hipervisor», dijo el Centro de Coordinación CERT (CERT/CC) en un aviso.
«Un atacante no autenticado puede explotar esta vulnerabilidad para filtrar memoria privilegiada de la CPU saltando especulativamente a un dispositivo elegido».
Se ha confirmado que la falla afecta a Illumos, Intel, Red Hat, SUSE Linux, Triton Data Center y Xen. AMD, en un boletín , dijo que está «consciente de cualquier impacto» en sus productos.
La divulgación se produce semanas después de que IBM y VUSec detallaran GhostRace (CVE-2024-2193), una variante de Spectre v1 que emplea una combinación de ejecución especulativa y condiciones de carrera para filtrar datos de arquitecturas de CPU contemporáneas.
También sigue una nueva investigación de ETH Zurich que reveló una familia de ataques denominados Ahoi Attacks que podrían usarse para comprometer entornos de ejecución confiables (TEE) basados en hardware y romper máquinas virtuales confidenciales (CVM) como AMD Secure Encrypted Virtualization-Secure Nested Paging ( SEV-SNP ) y extensiones de dominio Intel Trust ( TDX ).
Los ataques, con nombres en código Heckler y WeSee, utilizan interrupciones maliciosas para romper la integridad de las CVM, lo que potencialmente permite a los actores de amenazas iniciar sesión de forma remota y obtener acceso elevado, así como realizar lecturas, escrituras e inyecciones de código arbitrarias para deshabilitar reglas de firewall y abra un shell raíz.
«Para los ataques Ahoi, un atacante puede usar el hipervisor para inyectar interrupciones maliciosas en las vCPU de la víctima y engañarla para que ejecute los controladores de interrupciones», dijeron los investigadores. «Estos controladores de interrupciones pueden tener efectos globales (por ejemplo, cambiar el estado del registro en la aplicación) que un atacante puede activar para comprometer el CVM de la víctima».
En respuesta a los hallazgos, AMD dijo que la vulnerabilidad tiene su origen en la implementación del kernel de Linux de SEV-SNP y que las correcciones que abordan algunos de los problemas se han trasladado al kernel principal de Linux.
Fuente y redacción: thehackernews.com
