※ 引述《kira925 (1 2 3 4 疾风炭)》之铭言： : https://googleprojectzero.blogspot.tw/2018/01/reading-privileged- : memory-with-side.html?m=1 : https://tinyurl.com/y82aqvbf (缩网址) : Google:我忍你们很久了 : 以下内容只是粗略看过 有错误请指正 : 目前Google找到了三种不同的问题 : 第一种: bounds check bypass 三家都有中奖，针对特殊的BPF JIT Compiler : (Google的概念测试对象: Intel Xeon/AMD FX/AMD A8/ARM A57) : 第二种: branch target injection Intel : (概念测试对象: Intel Xeon) : 第三种: rogue data cache load Intel : (概念测试对象: Intel Xeon) : 不过情节差异大概是 第一种并不是系统预设会去开启的东西 : 第二与第三是日常的系统指令 : 顺带一提 第一种可能是先天SPEC就有漏洞 : ARM的回应表示Work as Intended不过也承认确实有漏洞存在 : 他们已经准备好对应的更新了(也要做FUCKWIT?) : ---- : 让我们继续看下去 针对第三种，从paper的例子里大致讲一下 1 ; rcx = kernel address 2 ; rbx = probe array 3 retry: 4 mov al, byte [rcx] <--读取kernel address 5 shl rax, 0xc 6 jz retry 7 mov rbx, qword [rbx + rax] <--user address 第4行，intel在scheduler要issue指令前，没有确认load是否有权限读取 等到指令执行完，要retire时才核查权限 但是等到这个时候，後面的指令也都执行完了 第7行的cache line [rbx + rax]从记忆体搬到了cache内 因为[rbx + rax]是位於user可以存取的范围内 所以之後可以藉由读取不同cache line，看他是cache hit/miss 来猜测kernel address里的内容是什麽 至於其他家处理器，在scheduler要issue指令前就确认了权限 因此第4行指令就根本不会执行了，更不用说後面的567行了 举个白话文的例子来说 未成年的小明到i餐厅点"高级"清酒喝，服务生在点酒时并未确认小明身分证 把清酒加热後，上给小明时才发现他未成年 虽然小明没有喝到酒，但是酒早已被加热了 小明藉由酒温知道了哪一瓶才是"高级"清酒，并把他偷出来喝掉 至於其他a餐厅，在点酒时就会先确认身分证，服务生自然不会加热清酒 因此小明永远不知道a餐厅真正的"高级"清酒是哪一瓶 例子讲完了，至於要怎麽修? 那就在scheduler要issue访存指令前先确认权限阿 根据架构不同，如果权限存放的地方离scheduler有点远 读起来多花一点时间，那就把频率降低一点来meet timing 或者每个存取都多花一个cycle来确认权限罗 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 136.62.164.18 ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/PC_Shopping/M.1515043262.A.E55.html