2023年8月版　最速！　危険度の高い脆弱性をいち早く解説「脆弱性研究所」第13回その1

2023.09.06

8月に公開された重大な脆弱性（CISA KEV参照）

8月に新たに公開された脆弱性は4539となります。この中で特に重大な脆弱性をいくつかピックアップして２回に分けて説明したいと思います。

第三回で説明したCISAによる「実際に悪用されている脆弱性(Known Exploited Vulnerabilities Catalog)」のデータベース情報もあわせて載せています。

8月にCISAのKEVに登録された脆弱性はトータルで15件で、内訳は

RARLAB: 1件
Ignite Realtime: 1件
Ivanti: 1件
Veeam: 1件
Citrix: 1件
Microsoftt: 1件
Adobe: 1件
Zyxel: 1件

になっています。

参考情報

CISA「Known Exploited Vulnerabilities Catalog」

1. 幅広い世代のIntel CPUを対象にしたDownFall 攻撃（Gather Data Sampling:GDS CVE-2022-40982）。重要なデータが盗まれる可能性

2023/08/08にGoogle の上級研究科学者が、複数の Intel マイクロプロセッサファミリに影響を及ぼし、同じコンピュータを共有するユーザーからパスワード、暗号化キー、電子メール、メッセージ、銀行情報などの個人データを盗める「Downfall(Downfall)」と呼ばれる脆弱性を悪用する新しい CPU 攻撃を考案しました。

Downfall攻撃では、後述する通り攻撃者は被害者と同じ物理プロセッサコア上で盗聴を行う必要があります。ただし、マルウェアなどのローカルプログラムがこの欠陥を悪用して機密情報を盗む可能性があります。また、この欠陥はいわゆるサイドチャネルの問題であり、IntelのSkylake から Ice Lakeまで、すべてのプロセッサに影響します。

一次情報源

CVE情報

今回公開されたCVEは以下になります。

CVE-2022-40982

一次情報源 (ベンダー)
- INTEL-SA-00828
影響を受ける製品
- Skylake family (Skylake, Cascade Lake, Cooper Lake, Amber Lake, Kaby Lake, Coffee Lake, Whiskey Lake, Comet Lake)
- Tiger Lake family
- Ice Lake family (Ice Lake, Rocket Lake)
CVSS Base Score: 6.8 Medium
CVSS Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
CVE 詳細
- 一部のインテル(R) プロセッサーの特定のベクター実行ユニットにおいて一時的な実行後のマイクロアーキテクチャ状態による情報漏洩により、認証されたユーザーがローカルアクセスを介した情報開示を可能にする可能性があります。
修正方法
- Intelのマイクロコードを最新のものに更新してください。

脆弱性の詳細

GATHER命令

今回の脆弱性を解説しているIntelのドキュメントでも説明されていますので、以下はそちらの翻訳が主になります。

GATHER命令は、Intel Advanced Vector Extensions 2 (Intel AVX2) および Intel Advanced Vector Extensions 512 (Intel AVX-512) が提供する機能になります。基本的にはシングルインストラクション・マルチプルデータ（Single Instruction Multiple Data: SIMD）で構成されており、vector-index memory addressingを用いて、メモリから不連続なデータを読み込むものになります。

gather命令(instruction)がメモリからのロードを実行する際に、異なったデータ要素が指定されたマスクに従って宛先のベクターレジスタにマージされます。

下図は、downfallの概念図で最初に説明される「GATHER命令の動作」になります。

GATHER Data Sampling Vulnerability(GDS)の説明

GATHERは前節で説明したとおりですが、これを実装する際にはスピードアップのため、いくつかの最適化がなされています。例えば実装の段階で、下記のような実装を行います。

どのみち破棄する必要がある、設定されていないマスクビットに対する不必要なメモリ読み取りを省略しています。
同じキャッシュラインに複数回インデックスを付ける際には、同じキャッシュラインのデータを再利用します。
複数の読み取りを並列かつ投機的（speculatively）に実行し、少なくとも1つの読み取りが失敗した場合は結果を破棄します。
複数の読み取りの途中で中断があった場合には、すでに実行された読み取りの再実行を避けるために、gatherの部分実行の状態を保存します。

CPU は設定されていないマスクビットや、重複したインデックスの読み取りの一部を早い段階で省略できますが、テンポラリバッファを使用して他の最適化を実装することもできます。また複数の読み取りが同じキャッシュラインで異なるオフセットをターゲットにしている場合には、テンポラリバッファはキャッシュラインを保持しつつ、異なるワード値を後続の命令に独立して転送できます。さらにテンポラリバッファは、異なるキャッシュラインからの投機的なメモリ読み取りも簡単にします。

しかし独立したセキュリティドメイン間で共有されるテンポラリバッファは、セキュリティ上で重要な問題を引き起こす可能性があります。

下記の様なプログラムで今回の問題（Gather Data Sampling: GDS）を考えます。

// Step (i): Increase the transient window
lea addresses_normal, %rdi
clflush (%rdi)
mov (%rdi), %rax
// Step (ii): Gather uncacheable memory
lea addresses_uncacheable, %rsi
mov $0b1, %rdi
kmovq %rdi, %k1
vpxord %zmm1, %zmm1, %zmm1
vpgatherdd 0(%rsi, %zmm1, 1), %zmm5{%k1}
// Step (iii): Encode (transient) data to cache
movq %xmm5, %rax
encode_eax
// Step (iv): Scan the cache
Scan_flush_reload

攻撃者は上記のプログラムで以下のようなことを行います。

(i) キャッシュミスを実行して、投機的実行ウィンドウを拡大します。これにより一時的に転送されたデータが、キャッシュを通じて可視化される可能性が増加します。

(ii) 単一のキャッシュラインにアクセスする収集命令を実行します。ターゲットメモリがキャッシュ不能 (UC) であるためにキャッシュミスに繋がります。

(iii) 512 ビットのベクトルレジスタからのdwordを4×256キャッシュラインにエンコードするため、最大 4 バイトの一時データが明らかになります。

(iv) フラッシュ+リロード手法を使用してキャッシュをスキャンし、転送されたデータバイトを推測します。

論文によると、上記のコードをTiger Lake CPUで実行すると、論理CPUスレッドで他のgather実行から1秒間に809個のdword値がリークされたそうです。また、キャッシュをスキャンする前に手順 (i ～ iii) を32回実行すると、1秒間に903個の dword値が漏洩したそうです。　観察されたデータの漏洩により、ユーザー空間から悪用可能な重大な脆弱性が確認されました。 gather命令は、論理CPU スレッド間で共有される一時バッファを使用しているようで、データを後続の依存命令に一時的に転送します。データは別のプロセスに属し、同じコアで実行されているgather実行になります。

ここでの要約は次になります。

GDSは、キャッシュできないUCおよびWCメモリにアクセスすることでデータを漏洩します
GDS はまた、gather実行中に発生する可能性のあるすべてのメモリアクセスエラーによってデータを漏洩する可能性があります。これには
- カーネルまたは保護キーへのアクセスによるパーミッションフォールト
- マップされていないメモリへのアクセスによるページフォールト
- 非正規アドレスへのアクセスによるアドレス生成エラー

が含まれます

論文では、さらにキャッシュミスに加えて、ページフォールトやatominc load-modify-store (LMS) 命令 (xchg、lock inc) などの他のメモリアクセスを用いて、gatherによりデータ漏洩が起きる様に一時ウィンドウを準備できることを確認しています。

下記の様なプログラムで今回の問題（Gather Data Sampling: GDS）を考えます。

// Step 1: Increase the transient window a lot
lea addresses_normal_helper, %rdi
.set i,0
.rept 8
clflush 64*i(%rdi)
mov 64*i(%rdi), %rax
.set i,i+1
.endr
xchg %rax, 0(%rdi)
// Step 2: Gather cachable memory (no fault)
lea addresses_normal, %rsi
...

上記のリストは、キャッシュミスと LMS 実行の組み合わせを使用して、投機実行ウィンドウを準備するプログラムのサンプルです。この場合、GDS は明示的なフォールトやマイクロコードによる補助なしで、キャッシュ可能なデータを持つ通常のメモリアドレスにアクセスすることができ、データが漏洩します。

これはフォールトやアシストにより発生するメモリアクセスを悪用したMDS攻撃とは異なり、GatherがSpectreと同様に、通常の投機的実行で古いデータを転送する可能性があることを示唆しています。

影響を受ける命令(instrunction)

GDSにより、別のgather命令からデータがリークすることを示しましたが、論文ではメモリオペランドを受け入れるすべてのx86命令をテストして、どの命令がGDSによりリークするかも確認しています。それによると、下記のような命令がGDSにより影響を受ける様です。

GDSによる影響を受ける命令の例: (今回の論文より画像引用)
{n} は、影響を受けるカテゴリの命令の数です。 (v)(vp)(p) はベクトル命令プレフィックスです。
* は、同じバケット内のさまざまなデータ型または関数を示します。

漏洩するデータ

論文によると、CPUがSIMDレジスタバッファに「静止状態」でデータをプリフェッチする 2 つの状態が発見されました。そのため、データがソフトウェアによって読まれていないにも関わらずGDS がデータを漏洩する可能性があります。

OOB プリフェッチ : ソフトウェアは n バイトを読み取りますが、CPU は最大 x キャッシュラインまで n バイトを超えてリークします。
NOOP プリフェッチ : ソフトウェアは0バイトを読み取りますが、CPU は最大 x キャッシュラインをリークします。

これらの情報からの組み合わせで、論文ではデータを漏洩させるガジェットや、ユーザー空間からLinux Kernel メモリを読み込むようなガジェット、またGDSとLVI(Load Valuable Injection)を組み合わせたGVI(Gather Value Injection)ガジェットなどを紹介しています。

Intelの説明

今回の「GDS」に関して、Intelでは下記のように説明しています。

————————————————————————————————————————

gather命令のハードウェア最適化により、特定の状況ではアーキテクチャベクターレジスタ（architectural vector registers）／内部ベクターレジスタが以前に使用した際の古いデータが、gather loadによって更新されずに一時的に依存する他の命令に転送されることがあります。

この、依存する他の命令から、悪意のある攻撃者は、共有 CPU キャッシュなどの秘密チャネル(covert channel)を通じて送信されるベクターレジスタの古いデータを推測できる可能性があります。

この振る舞いを通して露出される古いデータの範囲は、同じ物理プロセッサコアに限定されます。ローカルでコードを実行できる攻撃者は、同じ物理プロセッサコアからの古いデータをサンプリングベースで観察する可能性があります(この意味ではGDSはMDSと似ています)が、どのデータが推測できるかを指定したり直接制御したりすることはできません。

GDSによる攻撃を用いて古いデータを推測するには、悪意のあるコードがgather命令(instruction)を使用する必要があります。しかしながらGDS 攻撃は、gather命令を使用していないソフトウェアにも影響を与える可能性があります。そのような攻撃では、アーキテクチャベクトルレジスタを明示的に使用する命令 (例えばSIMDやスカラーSSE、インテルAVX命令など) や、内部ベクターレジスタを暗黙的に使用する命令 (例えばREP MOVS命令など)によって処理されたデータが公開される可能性があります。

————————————————————————————————————————

PoC

Daniel Moghimi氏が公開しているDownfall AttacksのサイトでPoCを見ることができます。

他人の128bit/256bit AES鍵を盗むデモ
Linux Kernelの情報を盗み見るデモ
被害者の端末に表示されている文字を別の端末から見るデモ

などがあります。

また、PoCのコードもhttps://github.com/flowyroll/downfall/tree/main/POCに載っています。ただし、PoCは変なコードが混じっている可能性もありますので、取り扱いには充分に気をつけてください。

参考情報