6 月 18 日消息，韓國安全研究團隊曝光了名為 TIKTAG 的全新推測執(zhí)行攻擊手段，以 ARM 的內(nèi)存標記擴展（MTE）為目標，可以繞過防止內(nèi)存損壞的關(guān)鍵保護機制，且成功率高達 95% 以上。

MTE 是 ARM v8.5-A 架構(gòu)（及后續(xù)版本）新增的一項功能，主要是檢測和防止內(nèi)存損壞。系統(tǒng)采用低開銷標簽技術(shù)（Lower overhead tagging），分配 4 bits 來標記 16 byte（1 byte= 8 bits）內(nèi)存塊。這種機制有助于確定標簽上的指針與被訪問內(nèi)存區(qū)域的標簽一致，從而減少未經(jīng)授權(quán)的內(nèi)存訪問和濫用。

IT之家注：MTE 分為同步、異步和非對稱三類，每一類都平衡了安全性和性能。不過 TIKTAG 漏洞表明，即便是再妥善、再高級別的保護也可能存在漏洞。

研究人員觀察到兩個效率高、速度快的主要程序，包括 TIKTAG-v1 和 TIKTAG-v2，它們以推測執(zhí)行為目標，泄露 MTE 內(nèi)存標簽。

TIKTAG-v1

TIKTAG-v1 中使用的功能包括分支預(yù)測中的推測收縮和 CPU 的數(shù)據(jù)預(yù)取。

研究人員發(fā)現(xiàn)，這個小工具在攻擊 Linux 內(nèi)核時，對投機性內(nèi)存訪問的功能格外有效，不過需要對內(nèi)核指針進行一些操作。

惡意代碼會更改內(nèi)核指針，并通過系統(tǒng)調(diào)用函數(shù)調(diào)用使用高速緩存?zhèn)韧ǖ?；然后訪問并推測高速緩存的狀態(tài)以獲取內(nèi)存標記。

TIKTAG-v2

TIKTAG-v2 主要關(guān)注處理器時序推測中的存儲到加載轉(zhuǎn)發(fā)。

第一步是將值存儲到內(nèi)存地址，并同時從同一地址加載。該值被傳遞到下一個標簽，成功加載并改變共享緩存狀態(tài)。

另一方面，不匹配會阻止轉(zhuǎn)發(fā)，緩存狀態(tài)保持不變。如果攻擊者在投機執(zhí)行后檢查緩存狀態(tài)，就能推斷出標簽檢查結(jié)果。

事實證明，TIKTAG-v2 對目標漏洞進程（谷歌 Chrome 瀏覽器）是有效的，重點針對 V8 JavaScript 引擎在內(nèi)的部分。

回應(yīng)

Arm 公司在公告中表示 TIKTAG 攻擊非常強大，然后指出，使用推測方法在體系結(jié)構(gòu)層面披露分配標記仍然是安全的。他們在公告中強調(diào)，分配標記在地址空間中并不隱蔽。

ARM 在公告中寫道：由于 Allocation Tags 對地址空間中的軟件來說并不是秘密，因此揭示正確標簽值的投機機制并不被視為對架構(gòu)原則的破壞。

谷歌 Chrome 瀏覽器的安全團隊指出了這些問題，但選擇不修復(fù)它們，并指出 V8 沙盒不會對內(nèi)存數(shù)據(jù)和 MTE 標記保密。此外，到目前為止，Chrome 瀏覽器還沒有啟用基于 MTE 的防御功能，因此修復(fù)這些漏洞并不迫切。