Sikkerhedsforskere har demonstreret Branch Target Reuse, en Spectre v2-variant, der afslører følsomme oplysninger gennem forældede processorforudsigelser. I Linux-eksperimenter på to Intel-arkitekturer udtrak teamet en root-adgangskodehash på gennemsnitligt tre til fem minutter.
Resultatet betyder ikke, at angribere øjeblikkeligt kan få selve adgangskoden. En stjålet hash giver dem dog mulighed for at forsøge at knække adgangskoden offline.
Linux-tests demonstrerer eksponering af følsomme data
Forskere fra VU Amsterdams VUsec-gruppe og Scuola Superiore Sant’Anna udviklede angrebet. Deres stærkeste demonstration var rettet mod Linux-kernens klassiske Berkeley Packet Filter, eller cBPF.
Under testene brugte teamet uprivilegerede cBPF-programmer til at påvirke processorens forudsigelser. Derefter erstattede de et program med anden kode på den samme hukommelsesplacering.
Denne sekvens fik processoren til kortvarigt at følge en forældet forudsigelse til instruktioner kontrolleret af angriberen. Disse instruktioner efterlod målbare spor i cachen, hvilket gjorde det muligt for forskerne at rekonstruere oplysninger én byte ad gangen.
Teamet lokaliserede efterfølgende en kørende su-proces og udtrak root-adgangskodehashen fra dens hukommelse. Datagendannelsen nåede cirka otte bytes i sekundet.
På Intel Raptor Cove tog hele angrebet i gennemsnit tre minutter. Samtidig tog tests på Lion Cove i gennemsnit fem minutter.
Hvorfor udskiftning af kode kan efterlade forudsigelser
Moderne processorer forudser, hvilke instruktioner de får brug for som de næste for at forbedre ydeevnen. Disse forudsigelser kan dog overleve den kode, der oprindeligt skabte dem.
Just-in-time-kompilering skaber maskinkode, mens software kører. Når en JIT-motor fjerner gammel kode, kan den senere placere nye instruktioner på den samme adresse.
Branch Target Reuse udnytter uoverensstemmelsen mellem den nye kode og processorens tidligere branch-forudsigelser.
Derfor kan processoren kortvarigt udføre instruktioner fra en utilsigtet position, før den retter sin fejl. Selvom normal eksekvering ikke følger denne vej, kan den midlertidige aktivitet efterlade spor i cachen.
Forskerne kan derefter måle disse spor for at udlede følsomme data.
Eksisterende beskyttelse stoppede ikke begge demonstrationer
Forskerne udviklede komplette Linux-udnyttelser til to konfigurationer: standardopsætningen og en med constant blinding aktiveret.
Constant blinding gør visse indlejrede værdier sværere for angribere at kontrollere. Alligevel tilpassede teamet sin teknik ved at placere de nødvendige instruktionsmønstre i jump offsets.
Denne version udtrak stadig adgangskodehashen inden for fem minutter.
At udtrække en hash garanterer dog ikke adgang til kontoen. Muligheden for at gendanne den underliggende adgangskode afhænger af faktorer som adgangskodens styrke og hashingalgoritmen.
Browserfund har vigtige begrænsninger
Undersøgelsen omfattede også Mozillas SpiderMonkey JavaScript-motor og Oracles GraalVM. Ingen af eksperimenterne gav dog det samme komplette resultat som Linux-demonstrationerne.
I SpiderMonkey bekræftede teamet, at gamle forudsigelser kunne overleve udskiftning af kode. Det demonstrerede ikke en komplet browserudnyttelse.
Samtidig afslørede test af GraalVM en potentiel vej uden om et sandbox-tjek under spekulativ eksekvering. Anden aktivitet i motoren ryddede de relevante forudsigelser, før forskerne kunne gennemføre angrebet.
Disse fund viser forskellige niveauer af eksponering snarere end tilsvarende fungerende udnyttelser i alle tre miljøer.
Kernel-rettelser adresserer de rapporterede problemer
Forskningen resulterede i identifikatorerne CVE-2026-64507 og CVE-2026-64508, og rettelser er blevet tilføjet til Linux-kernen.
Teamet observerede også den underliggende forudsigelsesadfærd på alle de processorer, det testede, herunder modeller fra Intel, AMD og Arm. De komplette Linux-demonstrationer med udtrækning af adgangskodehashes, som beskrives i forskningen, involverede dog Intel-processorer.
Linux-brugere bør installere kernel-opdateringer, der indeholder rettelserne. Derudover bør brugere holde operativsystemer og relevante firmware-opdateringer opdaterede.
0 svar til “Branch Target Reuse-angreb udtrækker Linux root-adgangskodehash på få minutter”