Säkerhetsforskare har demonstrerat Branch Target Reuse, en Spectre v2-variant som exponerar känslig information genom föråldrade processorförutsägelser. I Linux-experiment på två Intel-arkitekturer lyckades teamet återställa en root-lösenordshash inom i genomsnitt tre till fem minuter.
Resultatet innebär inte att angripare omedelbart kan få fram själva lösenordet. En stulen hash gör det dock möjligt för dem att försöka knäcka lösenordet offline.
Linux-tester visar exponering av känsliga data
Forskare från VU Amsterdams VUsec-grupp och Scuola Superiore Sant’Anna utvecklade attacken. Deras mest avancerade demonstration riktade sig mot Linux-kärnans klassiska Berkeley Packet Filter, eller cBPF.
Under testerna använde teamet oprivilegierade cBPF-program för att påverka processorns förutsägelser. Därefter ersatte de ett program med annan kod på samma minnesplats.
Denna sekvens fick processorn att kortvarigt följa en föråldrad förutsägelse till instruktioner som kontrollerades av angriparen. Dessa instruktioner lämnade mätbara spår i cacheminnet, vilket gjorde det möjligt för forskarna att rekonstruera information en byte i taget.
Teamet lokaliserade därefter en aktiv su-process och extraherade root-lösenordshashen från dess minne. Dataåterställningen nådde cirka åtta byte per sekund.
På Intel Raptor Cove tog hela attacken i genomsnitt tre minuter. Samtidigt tog tester på Lion Cove i genomsnitt fem minuter.
Varför kodbyte kan lämna kvar förutsägelser
Moderna processorer förutser vilka instruktioner de kommer att behöva härnäst för att förbättra prestandan. Dessa förutsägelser kan dock finnas kvar längre än koden som ursprungligen skapade dem.
Just-in-time-kompilering skapar maskinkod medan programvara körs. När en JIT-motor tar bort gammal kod kan den senare placera nya instruktioner på samma adress.
Branch Target Reuse utnyttjar skillnaden mellan den ersatta koden och processorns tidigare grenförutsägelser.
Som ett resultat kan processorn kortvarigt exekvera instruktioner från en oavsiktlig position innan den korrigerar sitt misstag. Även om den normala exekveringen inte följer den vägen kan den tillfälliga aktiviteten lämna spår i cacheminnet.
Forskarna kan sedan mäta dessa spår för att härleda känsliga data.
Befintligt skydd stoppade inte båda demonstrationerna
Forskarna utvecklade kompletta Linux-exploateringar för två konfigurationer: standardkonfigurationen och en med constant blinding aktiverat.
Constant blinding gör vissa inbäddade värden svårare för angripare att kontrollera. Trots detta anpassade teamet sin teknik genom att placera de nödvändiga instruktionsmönstren i jump offsets.
Den versionen återställde fortfarande lösenordshashen inom fem minuter.
Att extrahera en hash garanterar dock inte åtkomst till kontot. Möjligheten att återställa det underliggande lösenordet beror på faktorer som lösenordets styrka och vilken hashalgoritm som används.
Webbläsarfynd har viktiga begränsningar
Undersökningen omfattade även Mozillas JavaScript-motor SpiderMonkey och Oracles GraalVM. Inget av experimenten gav dock samma fullständiga resultat som Linux-demonstrationerna.
I SpiderMonkey bekräftade teamet att gamla förutsägelser kunde finnas kvar efter att kod ersatts. Det demonstrerade inte en komplett webbläsarexploatering.
Samtidigt visade tester av GraalVM en potentiell väg runt en sandbox-kontroll under spekulativ exekvering. Annan aktivitet i motorn rensade de relevanta förutsägelserna innan forskarna kunde slutföra attacken.
Dessa fynd visar olika nivåer av exponering, snarare än likvärdiga fungerande exploateringar i alla tre miljöerna.
Kernel-fixar åtgärdar de rapporterade problemen
Forskningen resulterade i identifierarna CVE-2026-64507 och CVE-2026-64508, och fixar har lagts till i Linux-kärnan.
Teamet observerade även det underliggande förutsägelsebeteendet på alla processorer som testades, inklusive modeller från Intel, AMD och Arm. De kompletta Linux-demonstrationerna där lösenordshashar extraherades involverade dock Intel-processorer.
Linux-användare bör installera kernel-uppdateringar som innehåller fixarna. Dessutom bör användare hålla operativsystem och relevanta firmware-uppdateringar aktuella.
0 svar till ”Branch Target Reuse-attack extraherar Linux root-lösenordshash på några minuter”