Een kwetsbaarheid in Intel-processors genaamd SWAPGSAttack kan het speculatieve geheugen afluisteren. De bug zit in speculative execution, een optimalisatiemethode waarbij een cpu bepaalde taken of berekeningen probeert te voorspellen om de processor sneller te maken.
Dit maakten onderzoekers van Bitdefender dinsdag bekend tijdens de securityconferentie DefCon in Las Vegas. Het gaat om Windows-computers met Intel processoren die zijn geproduceerd vanaf 2012, gezien systemen sinds die tijd gebruik maken van de optimalisatie-techniek om het systeem te versnellen.
Toch zijn er inmiddels bedrijven die beweren dat de kwetsbaarheid ook in andere en oudere cpu’s is aangetroffen. AMD beweert daarentegen niet te zijn getroffen. Er is inmiddels een patch beschikbaar voor SWAPGSAttack, ook wel bekend als CVE-2019-1125.
Spectre en Meltdown
SWAPGSAttack is gebaseerd op de eerdere cpu-kwetsbaarheden Spectre, Meltdown en Zombieload. Het heeft zijn naam te danken aan het feit dat de bug SWAPGS exploiteert, een instructie voor CPU’s die ervoor zorgt dat het systeem begint met het adresseren van het beveiligde geheugen dat is gereserveerd voor kernels van het besturingssysteem, aldus ZDnet.
Als een voorspelling uitkomt, zoals gedaan via de speculative execution optimalisatiemethode, kan de berekening eerder worden uitgevoerd. Dat is mogelijk, doordat de data al eerder werd geladen. Voorspellingen die niet uitkomen, worden weggegooid. De onderzoekers hebben nu een manier gevonden om een side channel-aanval uit te voeren, die de geheugenisolatie omzeilt. Hierdoor kan een aanvaller beveiligingen omzeilen en gevoelige informatie van een gerichte machine uit het beveiligde kernelgeheugen aflezen. Dat alles zonder een spoor van een aanval op de hardware achter te laten.
“Beschouw dit niet als de volgende grote tool om ransomware of reguliere malware te exploiteren, omdat het zo niet werkt. Een side channel-aanval is tijdrovend en het vereist uren om informatie van de CPU te verzamelen. Voor een cybercrimineel die snel informatie probeert te krijgen, is er phishing”, zegt Bogdan Botezatu, directeur bedreigingsonderzoek bij Bitdefender.
“Maar voor staatsgesponsorde hackers, die zich richten op specifieke organisaties, is dit goud. Ze hebben namelijk alle tijd van de wereld hebben om dingen te raden en dit soort aanvallen laat geen forensische sporen achter op computers.”
Linux
Het beveiligingslek is niet aangetroffen in AMD-processors of op Linux gebaseerde besturingssystemen. Ook is niet bekend of SWAPGSAttack in het wild is misbruikt. Toch kunnen Windows-computers en -servers waarop de patch nog niet is geïnstalleerd kwetsbaar zijn voor potentiële aanvallen van kwaadwillenden, die SWAPGSAttack in de toekomst exploiteren. Iets dat ook geldt voor niet-ondersteunde besturingssystemen als Windows XP.