Reptar: поредната хардуерна уязвимост в процесорите на Intel

Тавис Орманди, изследовател по сигурността от Google, е идентифицирал нова хардуерна уязвимост (CVE-2023-23583) в процесорите на Intel с кодово име Reptar, която представлява заплаха основно за облачните системи, в които работят виртуални машини на различни потребители. Уязвимостта може да доведе до блокиране или срив на системата, когато се извършват определени операции в непривилегированите гостуващи системи. За да тестването на уязвимостта е публикувана помощна програма, която създава необходимите условия за проява на уязвимостта.

Теоретично уязвимостта може да се използва за ескалиране на привилегиите от третия до нулевия кръг на защита (CPL0) и за измъкване от изолираните среди, но този сценарий все още не е потвърден на практика поради трудности при отстраняване на грешките на микроархитектурно ниво. Вътрешна проверка в Intel също разкри възможността уязвимостта да бъде използвана за повишаване на привилегиите при определени условия.

Според изследователя уязвимостта е налична в процесорните фамилии Intel Ice Lake, Rocket Lake, Tiger Lake, Raptor Lake, Alder Lake и Sapphire Rapids. В доклада на Intel се споменава, че проблемът се наблюдава от 10-ото поколение (Ice Lake) на процесорите Intel Core и третото поколение процесори Xeon Scalable, както и в процесорите Xeon E/D/W (Ice Lake, Skylake, Haswell, Broadwell, Skylake, Sapphire Rapids, Emerald Rapids, Cascade Lake, Cooper Lake, Comet Lake, Rocket Lake) и процесори Atom (Apollo Lake, Jasper Lake, Arizona Beach, Alder Lake, Parker Ridge, Snow Ridge, Elkhart Lake и Denverton). Това са ужасно много процесори, а въпросната уязвимост беше отстранена с вчерашната актуализация на микрокода 20231114.

Уязвимостта се дължи на факта, че изпълнението на инструкцията „REP MOVSB“, кодирана с излишния префикс „REX“, води до неопределено поведение. Проблемът беше открит по време на тестване на излишните префикси, които теоретично би трябвало да се игнорират, но на практика водят до странни ефекти, например игнориране на безусловните преходи и нарушение на запазването на указателите в инструкциите xsave и call. По-нататъшното изследване показа, че добавянето на излишен префикс за инструкцията „REP MOVSB“ води до повреждане на съдържанието на буфера ROB (ReOrder Buffer), използван за подреждане на инструкциите.

Предполага се, че грешката се дължи на неправилно изчисляване на размера на инструкцията „MOVSB“ с излишен префикс, което води до неправилно адресиране на инструкциите, записани в буфера ROB след MOVSB, и до изместване на указателя към инструкциите. Подобна несинхронизация може да се ограничи до прекъсване на междинните изчисления с последващо възстановяване на кохерентното състояние. Но ако се предизвика срив на няколко ядра или SMT нишки едновременно, може да се постигне достатъчно увреждане на микроархитектурното състояние, за да се срине цялата дейност.