3月29日，研究人員在Linux操作系統(tǒng)中發(fā)現(xiàn)了2個新的安全漏洞，攻擊者成功利用后可以繞過Spectre 這類推測攻擊的漏洞補(bǔ)丁，并從kernel內(nèi)存中獲取敏感信息。

[[391176]]

漏洞概述

這兩個漏洞是由Symantec研究人員Piotr Krysiuk發(fā)現(xiàn)的，CVE編號為CVE-2020-27170 和 CVE-2020-27171，影響5.11.8 之前版本的Linux kernel。安全補(bǔ)丁已于3月20日發(fā)布，Ubuntu、Debian、Red Hat等系統(tǒng)也都應(yīng)用了補(bǔ)丁。

這兩個漏洞都與Linux kernel對擴(kuò)展 Berkeley Packet Filters(BPF，伯克利包過濾)有關(guān)。BPF允許用戶直接在Linux kernel中執(zhí)行用戶提供的程序。在加載這些程序時，Linux kernel會分析程序代碼以確保安全。但是為了修復(fù)Spectre漏洞的分析不足以保護(hù)對Spectre漏洞的利用。

CVE-2020-27170是最嚴(yán)重的漏洞，可以用來從kernel 內(nèi)存中的任意位置獲取內(nèi)容，也就是說可以在機(jī)器的任意RAM 中竊取內(nèi)容。運(yùn)行在受影響的系統(tǒng)上的非特權(quán)的BPF 程序可以繞過Spectre 補(bǔ)丁并執(zhí)行沒有任何限制的界外BPF 程序。攻擊者可以通過側(cè)信道來獲取內(nèi)存中的內(nèi)容。非特權(quán)的BPF 程序允許在特定指針類型上執(zhí)行指針運(yùn)算，其中ptr_limit 是沒有定義的。在這種類型的指針上執(zhí)行指針?biāo)銛?shù)運(yùn)算時，Linux kernel中是不包含任意對界外推測的保護(hù)的。

CVE-2020-27171 漏洞可以從4GB的內(nèi)存空間獲取內(nèi)容。該漏洞是在保護(hù)針對界外推測的指針?biāo)阈g(shù)運(yùn)算時由于運(yùn)算器錯誤引發(fā)的安全漏洞。運(yùn)行在受影響的系統(tǒng)上的非特權(quán)的BPF 程序可以利用該錯誤來從4GB的kernel內(nèi)存執(zhí)行推測界外加載。與CVE-2020-27170 漏洞類似，攻擊者也可以通過側(cè)信道來恢復(fù)kernel 內(nèi)存中的內(nèi)容。

漏洞利用

漏洞利用最可能的場景是多個用戶可以訪問單個受影響的計(jì)算機(jī)，此時，非特權(quán)用戶可以濫用上述任一漏洞來從kernel 內(nèi)存中提取內(nèi)容來定位其他用戶的秘密信息。

如果攻擊者可以訪問有漏洞的機(jī)器，那么攻擊者還可以下載惡意軟件到受影響的計(jì)算機(jī)上以實(shí)現(xiàn)遠(yuǎn)程訪問，然后利用這些漏洞獲取機(jī)器上其他用戶的信息。

Piotr 使用了2種不同的方法來證明這些保護(hù)可以被繞過。這兩種方法是相互獨(dú)立的，并且都可以讓非特權(quán)的本地用戶從kernel內(nèi)存中提取內(nèi)容，包括口令、剪貼板內(nèi)容等。

谷歌研究人員也發(fā)布了用JS編寫的PoC來證明在運(yùn)行Chrome 88 瀏覽器的Intel Skylake CPU上可以以1kb/s的速度泄露數(shù)據(jù)。

• 谷歌PoC代碼參見：https://security.googleblog.com/2021/03/a-spectre-proof-of-concept-for-spectre.html
• 更多技術(shù)細(xì)節(jié)參見：https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/spectre-bypass-linux-vulnerabilities

本文翻譯自：https://thehackernews.com/2021/03/new-bugs-could-let-hackers-bypass.html