Forskere fra Vrije Universiteit Amsterdam gjort kendt, gennem et blogindlæg, til "Training Solo, en ny familie af Spectre-v2-angreb der udnytter fejl i spekulativ forudsigelse til at bryde sikkerhedsgrænserne mellem privilegerede og ikke-privilegerede udførelsesrum, hvilket direkte påvirker Intels CPU'er.
De nye teknikker tillad udtrækning af følsomt indhold fra kernen eller hypervisoren med hastigheder på op til 17 KB pr. sekund, selv på systemer, der implementerer moderne afhjælpninger såsom IBPB, eIBRS eller BHI_NO.
Training Solo, Spectre-v2's nye ansigt genopstår med kraft
Siden sin opdagelse har Spectre-v2 været en af de sværeste klasser af sårbarheder at afbøde på grund af dens spekulative natur og "»Træning alene», igen introduceres et afgørende problem, da det ikke kræver nogen angriberkontrolleret kode for at påvirke branch-prediktoren, men i stedet er afhængig af eksisterende kodefragmenter (gadgets) i kernen eller hypervisoren for at træne prædiktoren fra brugerområdet.
Vores arbejde viser, at angribere spekulativt kan kapre kontrolflow inden for det samme domæne (f.eks. kernen) og lække hemmeligheder på tværs af privilegiegrænser, hvilket genopliver klassiske Spectre-v2-scenarier uden at være afhængige af kraftfulde sandkasser som eBPF. Vi har oprettet et nyt testsæt til at analysere grenprædiktoren i et selvtræningsscenarie.
Forskerne har vist, at ved at manipulere disse gadgets (f.eks. udnyttelse af cBPF-baserede SECCOMP-filtre) spekulativ udførelse kan fremkaldes der lækker data fra det privilegerede system.
Gennem denne teknik, kaldet "individuel træning", prædiktorens historik kan ændres af gafler således at der opstår forkerte spring under spekulativ udførelse, med det formål at lække hukommelsesindhold gennem bivirkninger i cachen.
masse Træning af soloangreb findes i tre varianter, der hver især udnytter forskellige svagheder:
- Manipulering af grenhistorik med kerne-gadgetsUdnytter systemkald som SECCOMP, hvor filtre kan inducere falske spekulative forgreninger, hvilket lækker hukommelse med hastigheder på 1,7 KB/s på Intel Tiger Lake og Lion Cove CPU'er.
- Instruktionspointerkollisioner (IP) i branch prediction buffer (BTB): Her kan to forskellige indirekte grene påvirke hinanden, hvis deres adresser kolliderer i bufferen, hvilket gør det muligt at forudsige spekulative destinationer forkert.
- Påvirkninger mellem direkte og indirekte grene: Denne teknik, baseret på to specifikke sårbarheder (CVE-2024-28956 (ITS) og CVE-2025-24495), udnytter, hvordan direkte forgreninger kan påvirke forudsigelsen af indirekte forgreninger. Ved hjælp af denne fremgangsmåde blev root-adgangskoden-hashen gendannet efter at have kørt passwd -s på bare 60 sekunder.
Vores arbejde fokuserer på at bryde domæneisolation gennem design gennem selvtræningsangreb. De hardwareproblemer, der blev opdaget i vores testsæt, påvirker dog også implementeringen af isolation, da det blev antaget, at direkte grene ikke ville blive brugt til træning af indirekte grene.
Virkning og omfang af nye sårbarheder
Angrebene påvirker en bred vifte af Intel CPU'er, inklusive populære serier som Coffee Lake, Tiger Lake, Ice Lake og Rocket Lake, samt 2. og 3. generations Xeon-servere. Derudover er Lunar Lake- og Arrow Lake-arkitekturerne også sårbare under CVE-2025-24495.
For at afbøde disse angreb, Intel har udgivet en mikrokodeopdatering som introducerer en ny instruktion: IBHF (Indirekte grenhistorikhegn), der er designet til at forhindre kontaminering af grenhistorik. Denne ændring skal implementeres eksplicit efter enhver kode, der påvirker branch-prædiktoren. For ældre CPU'er er det blevet anbefalet at bruge softwareløsninger, der manuelt sletter historikken.
For deres vedkommende, kerneudviklerne af Linux er allerede begyndt at integrere programrettelser for at modvirke disse teknikker., herunder foranstaltninger, der flytter indirekte hop ud af følsomme cacheområder og beskyttelse mod cBPF.
AMD har på sin side bekræftet, at Disse teknikker påvirker ikke dine processorer. ARM indikerede, at kun dets ældre chips, uden understøttelse af FEAT_CSV2_3- og FEAT_CLRBHB-udvidelserne, ville blive eksponeret.
Endelig, hvis du er interesseret i at vide mere om det, kan du konsultere detaljerne I det følgende link.