Известный хакер Кристофер Домас (Christopher Domas) обнаружил уязвимость, которая затрагивает процессоры AMD, выпускавшиеся с 2011 по 2015 год. Она открывает доступ к закрытым для операционной системы областям оперативной памяти и программным компонентам, но практическая польза от неё невелика — для её эксплуатации необходим доступ к ОС на уровне ядра.

Уязвимость затрагивает процессоры AMD семейств 15h и 16h, которые выпускались с 2011 по 2015 год. Первое семейство включает настольные процессоры серии FX и некоторые Opteron, а второе — чипы в Jaguar и Puma, которые использовались в Sony PlayStation 4 и Microsoft Xbox One, а также несколько моделей Athlon, Sempron и Opteron-X. Эксплойт получил название Skitter Creek Bath Salts (Skitter). Для проведения атаки необходим доступ на уровне ядра, то есть гипотетический злоумышленник должен иметь возможность запускать собственные драйверы — это откроет ему полный доступ к оперативной памяти, включая закрытые для ОС фрагменты. AMD отреагировала на обнаружение проблемы, заявив, что поддержка старых процессоров прекращена, а требуемый уровень доступа и без того предполагает, что злоумышленник полностью контролирует машину.

У операционных систем нет полного доступа ко всем расположениям в оперативной памяти — часть резервируется для системных данных. Если бы не этот механизм, ОС перестала бы быть безопасной по определению, потому что вредоносный драйвер имел бы возможность свободно вмешиваться в работу процессора на низком уровне. В целях повышения производительности контроллеры оперативной памяти на современных процессорах используют чередование физических банков, но на уровне ОС она представлена в виде ровной последовательности адресов. Суть уязвимости в том, что управляющий этой функцией параметр процессора BankSwizzleMode (Swizzle) в вышеупомянутых моделях доступен ОС. Он включается и выключается при помощи инструкции «xor dword [0xf80c2094], 0x00400000», и это можно использовать во вредоносных целях.

На первом этапе потенциальный злоумышленник запускает цикл, позволяющий отследить местоположение данных по известному на уровне ОС адресу. Для этого в память помещается заданный параметр, затем Swizzle отключается, чтобы узнать физическое расположение этого параметра, и далее Swizzle снова включается. Если повторить это достаточное число раз, можно составить карту сопоставления системных и физических адресов. При наличии этой карты можно отключить Swizzle и в принудительном порядке произвести чтение или запись данных в обычно недоступных ОС физических областях памяти. В результате открывается доступ ко всему ранее скрытому коду и данным для выполнения любых действий, вплоть до чтения кода подписи fTPM и вообще любых низкоуровневых операций.

На этапе составления карты оперативной памяти компьютер может завершить работу со сбоем, но, чтобы этого не произошло, при каждом отключении и включении Swizzle требуется подготовить процессор, в том числе отключить прерывания и принять ряд иных мер. Когда же карта составлена, вероятность сбоя оказывается достаточно низкой. Наконец, возможность произвести всё это, используя только одну инструкцию, восходит к стандарту Memory-Mapped Configuration Space (MMCONFIG) — в адресах памяти существует особое пространство, при взаимодействии с которым операции направляются к настройкам оборудования, а не собственно к оперативной памяти.

Источник: Tom's Hardware