Sikkerhetsforskere har demonstrert Branch Target Reuse, en Spectre v2-variant som eksponerer sensitiv informasjon gjennom utdaterte prosessorforutsigelser. I Linux-eksperimenter på to Intel-arkitekturer hentet teamet ut en root-passordhash i løpet av tre til fem minutter i gjennomsnitt.
Resultatet betyr ikke at angripere umiddelbart kan få tak i selve passordet. En stjålet hash gjør det imidlertid mulig for dem å forsøke å knekke passordet offline.
Linux-tester demonstrerer eksponering av sensitive data
Forskere fra VU Amsterdams VUsec-gruppe og Scuola Superiore Sant’Anna utviklet angrepet. Deres sterkeste demonstrasjon rettet seg mot Linux-kjernens klassiske Berkeley Packet Filter, eller cBPF.
Under testingen brukte teamet uprivilegerte cBPF-programmer for å påvirke prosessorens forutsigelser. Deretter erstattet de et program med annen kode på samme minneplassering.
Denne sekvensen førte til at prosessoren kortvarig fulgte en utdatert forutsigelse til instruksjoner kontrollert av angriperen. Disse instruksjonene etterlot målbare spor i hurtigbufferen, noe som gjorde det mulig for forskerne å rekonstruere informasjon én byte om gangen.
Teamet lokaliserte deretter en kjørende su-prosess og hentet ut root-passordhashen fra minnet. Datagjenopprettingen nådde omtrent åtte byte per sekund.
På Intel Raptor Cove tok hele angrepet i gjennomsnitt tre minutter. Samtidig tok tester på Lion Cove i gjennomsnitt fem minutter.
Hvorfor utskifting av kode kan etterlate forutsigelser
Moderne prosessorer forutser hvilke instruksjoner de vil trenge videre for å forbedre ytelsen. Disse forutsigelsene kan imidlertid overleve koden som opprinnelig skapte dem.
Just-in-time-kompilering oppretter maskinkode mens programvaren kjører. Når en JIT-motor fjerner gammel kode, kan den senere plassere nye instruksjoner på samme adresse.
Branch Target Reuse utnytter misforholdet mellom den nye koden og prosessorens tidligere grenforutsigelser.
Dermed kan prosessoren kortvarig utføre instruksjoner fra en utilsiktet posisjon før den korrigerer feilen. Selv om normal kjøring ikke følger denne banen, kan den midlertidige aktiviteten etterlate spor i hurtigbufferen.
Forskerne kan deretter måle disse sporene for å utlede sensitive data.
Eksisterende sikring stoppet ikke begge demonstrasjonene
Forskerne utviklet komplette Linux-utnyttelser for to konfigurasjoner: standardoppsettet og ett med constant blinding aktivert.
Constant blinding gjør enkelte innebygde verdier vanskeligere for angripere å kontrollere. Likevel tilpasset teamet teknikken ved å plassere de nødvendige instruksjonsmønstrene i jump offsets.
Denne versjonen hentet fortsatt ut passordhashen i løpet av fem minutter.
Å hente ut en hash garanterer imidlertid ikke tilgang til kontoen. Muligheten til å gjenopprette det underliggende passordet avhenger av faktorer som passordstyrke og hashalgoritmen.
Nettleserfunn har viktige begrensninger
Undersøkelsen omfattet også Mozillas JavaScript-motor SpiderMonkey og Oracles GraalVM. Ingen av eksperimentene ga imidlertid det samme komplette resultatet som Linux-demonstrasjonene.
I SpiderMonkey bekreftet teamet at gamle forutsigelser kunne overleve utskifting av kode. Det demonstrerte ikke en komplett nettleserutnyttelse.
Samtidig viste testing av GraalVM en potensiell vei rundt en sandbox-kontroll under spekulativ kjøring. Annen aktivitet i motoren fjernet de relevante forutsigelsene før forskerne kunne fullføre angrepet.
Disse funnene viser ulike nivåer av eksponering, snarere enn tilsvarende fungerende utnyttelser i alle tre miljøene.
Kernel-rettelser løser de rapporterte problemene
Forskningen resulterte i identifikatorene CVE-2026-64507 og CVE-2026-64508, og rettelser har blitt lagt inn i Linux-kjernen.
Teamet observerte også den underliggende forutsigelsesatferden på alle prosessorene de testet, inkludert modeller fra Intel, AMD og Arm. De komplette Linux-demonstrasjonene med uthenting av passordhasher som beskrives i forskningen, involverte imidlertid Intel-prosessorer.
Linux-brukere bør installere kernel-oppdateringer som inneholder rettelsene. I tillegg bør brukere holde operativsystemer og relevante firmware-oppdateringer oppdatert.
0 responses to “Branch Target Reuse-angrep henter ut Linux root-passordhash på få minutter”