Новая уязвимость Branch Privilege Injection в процессорах Intel угрожает безопасности данных ядра

В современных процессорах Intel обнаружена новая уязвимость под названием Branch Privilege Injection, позволяющая злоумышленникам извлекать чувствительные данные из областей памяти, предназначенных для привилегированного ПО, например, ядра ОС.

Обычно такие области содержат пароли, криптографические ключи, данные других процессов и структуры ядра, поэтому их защита критически важна.

По данным исследователей из ETH Zurich, существующие меры защиты от уязвимостей Spectre v2 действовали около шести лет, но их новая атака на основе Branch Predictor Race Conditions позволяет эти меры обойти.

Уязвимость, получившая идентификатор CVE-2024-45332, представляет собой состояние гонки в подсистеме предсказания переходов, используемой в процессорах Intel.

Компоненты, такие как Branch Target Buffer (BTB) и Indirect Branch Predictor (IBP), предугадывают результат инструкций перехода до их фактического выполнения, чтобы повысить производительность процессора.

Предсказания выполняются спекулятивно и отменяются, если оказываются неверными.

Исследователи выяснили, что обновления предсказателя могут пересекать границы привилегий, если происходит переключение, например, из пользовательского режима в режим ядра. В этот момент возможно присвоение неверного уровня привилегий.

В результате нарушается изоляция между пользовательским и привилегированным (ядром) режимами, и обычный (непривилегированный) пользователь может получить доступ к данным из привилегированных процессов.

Команда ETH Zurich создала эксплойт, который обучает CPU предсказывать определенный переход, после чего вызывает системный вызов, переводя исполнение в ядро. В результате выполняется спекулятивный код, контролируемый атакующим, который получает доступ к секретным данным в кеше.

Затем с помощью побочного канала эти данные утекают атакующему. В ходе демонстрации на Ubuntu 24.04 с включенными стандартными мерами защиты исследователи успешно считали содержимое файла /etc/shadow/, содержащего хеши паролей. Максимальная скорость утечки достигала 5.6 КБ/сек при точности 99.8%.

Затронутые процессоры и исправления

Уязвимость CVE-2024-45332 затрагивает все процессоры Intel, начиная с 9-го поколения, включая Coffee Lake, Comet Lake, Rocket Lake, Alder Lake и Raptor Lake.

Исследователи пояснили:

Все процессоры Intel, начиная с 9-го поколения (Coffee Lake Refresh), подвержены атаке Branch Privilege Injection.

Однако мы наблюдали прогнозы, обходящие Indirect Branch Prediction Barrier (IBPB) на процессорах еще с 7-го поколения (Kaby Lake).

Исследователи ETH Zurich в настоящее время не тестировали более старые поколения, но поскольку они не поддерживают Enhanced Indirect Branch Restricted Speculation (eIBRS), они менее актуальны для этого конкретного эксплойта и, вероятно, более подвержены старым атакам типа Spectre v2.

Также были исследованы чипы Arm Cortex-X1, Cortex-A76 и AMD Zen 5 и Zen 4, но они не демонстрируют одинаковое поведение асинхронного предиктора, поэтому они не уязвимы для CVE-2024-45332.

Хотя атака была показана на Linux, уязвимость находится на аппаратном уровне, и теоретически ее можно использовать и в Windows.

О находке Intel было уведомлено в сентябре 2024 года. Компания выпустила обновления микрокода для затронутых моделей.

Аппаратные меры (микрокод) снижают производительность в среднем на 2.7%, а программные меры защиты — от 1,6% до 8,3%, в зависимости от конкретной модели процессора.

Риск для обычных пользователей оценивается как низкий, так как атака требует соблюдения множества условий. Тем не менее, рекомендуется установить последние обновления BIOS/UEFI и ОС.

Полные технические детали эксплойта будут представлены командой ETH Zurich на конференции USENIX Security 2025.

13 мая 2025 года компания Intel опубликовала бюллетень безопасности и дала комментарий:

Мы ценим работу ETH Zurich и сотрудничество при координированном раскрытии информации. Intel усиливает аппаратные меры защиты от Spectre v2 и рекомендует пользователям обращаться к производителям своих систем за соответствующими обновлениями. На данный момент Intel не располагает сведениями об использовании уязвимостей спекулятивного исполнения в реальных атаках.