Retbleed（CVE-2022-29900和CVE-2022-29901）是利用分支目标注入来泄漏信息的推测执行攻击系列的新成员，我们称之为 Spectre-BTI。与通过利用间接跳转或调用触发有害分支目标推测的兄弟姐妹不同，Retbleed 利用返回指令。这意味着很多，因为它破坏了我们当前的一些 Spectre-BTI 防御。
今天的许多操作系统使用的一种这样的防御称为retpoline。Retpolines 通过将间接跳转和调用替换为返回来工作。早在 2018 年，就发明了 retpolines，以防止未经授权的攻击者使用 Spectre-BTI 从系统内存中窃取信息。虽然有些人担心回报是否也可能受到 Spectre-BTI 攻击，但回报被认为是不切实际的利用，并且担忧被忽略了。主要原因是在正常微架构条件下，返回目标预测不会被预测为间接分支。
然而事实证明，由于以下两个见解，Retbleed 确实可以利用：
可以在 AMD 和 Intel CPU 上触发微架构条件，这会像间接分支一样强制返回预测。我们还构建了必要的工具来发现 Linux 内核中满足这些条件的位置。
发现可以注入驻留在内核地址空间内的分支目标，即使作为非特权用户也是如此。即使我们不能访问内核地址空间内的分支目标——分支到这样的目标会导致页面错误——分支预测单元会在观察到分支时自我更新并假设它是合法执行的，即使它是到内核的地址。
安全研究人员发现了另一个影响许多旧 AMD 和 Intel 微处理器的漏洞，该漏洞可能绕过当前的防御并导致基于 Spectre 的推测执行攻击。
苏黎世联邦理工学院的研究人员 Johannes Wikner和 Kaveh Razavi 将这些问题称为Retbleed，这些问题被跟踪为 CVE-2022-29900 (AMD) 和 CVE-2022-29901 (Intel)，芯片制造商发布 软件 缓解措施作为协调披露过程的一部分。
Retbleed 也是被称为 Spectre-BTI（CVE-2017-5715 或 Spectre-V2）的Spectre 攻击的最新成员，该攻击利用称为推测执行的优化技术的副作用，通过时序侧通道来欺骗程序访问其内存空间中的任意位置并泄漏私人信息。
推测执行试图通过预测接下来将执行哪条指令来填充程序的指令流水线以获得性能提升，同时如果猜测结果错误，也会撤消执行结果。
像 Spectre 这样的攻击利用了这样一个事实，即这些错误执行的指令（错误预测的结果）必然会在缓存中留下执行痕迹，从而导致流氓程序可以欺骗处理器执行错误的代码路径和推断与受害者有关的秘密数据。
换句话说，Spectre 是瞬态执行攻击的一个实例，它依靠硬件设计缺陷来“影响”哪些指令序列被推测执行，并从受害者的内存地址空间中泄露加密密钥或密码。
反过来，这是通过微架构侧通道（如Flush+Reload ）实现的，该通道测量从与受害者共享的缓存中执行内存读取所花费的时间，但不是在刷新一些共享内存之前，导致快速或慢速读取取决于受害者在被驱逐后是否访问了受监控的缓存行。
虽然已经设计了像Retpoline（又名“return trampoline”）这样的保护措施来防止分支目标注入 (BTI)，但 Retbleed 旨在绕过这种对策并实现推测性代码执行。
“ Retpolines通过替换间接跳转 [在运行时确定分支目标的分支] 和返回调用来工作，”研究人员解释说。
“Retbleed 旨在劫持内核中的返回指令，以在内核上下文中获得任意推测性代码执行。通过在受害者返回指令处对寄存器和/或内存进行充分控制，攻击者可以泄漏任意内核数据。”
简而言之，核心思想是将返回指令视为用于推测执行的攻击向量，并强制将返回作为间接分支进行预测，从而有效地撤消 Retpoline 提供的保护。
作为新的防线，AMD 引入了所谓的Jmp2Ret，而英特尔建议使用增强的间接分支限制推测 ( eIBRS ) 来解决潜在的漏洞，即使 Retpoline 缓解措施到位。
“Windows 操作系统默认使用 IBRS，因此不需要更新，”英特尔在一份公告中表示，并指出它与 Linux 社区合作，为该缺陷提供可用的软件更新。
联系客服
