Pesquisadores do grupo System and Network Security da Universidade Livre de Amsterdã (VUSec) conversaram hoje sobre um novo tipo de ataque do qual os processadores de servidor Intel não estavam protegidos. A vulnerabilidade é chamada NetCAT (abreviação de Network Cache Attack), e todos os processadores Intel com suporte para mecanismos DDIO (Data-Direct I / O Technology) e RDMA (Remote Direct Memory Access) são afetados.
Pesquisadores mostraram que um computador com um processador Intel com essas duas funções ativadas pode ser atacado pela rede, como resultado do qual um invasor pode obter acesso a determinados dados localizados na memória cache do processador. Para explorar completamente a vulnerabilidade, o invasor deve monitorar quanto tempo o processador gasta no processamento de certos dados do cache e, em alguns casos, isso permite restaurar os próprios dados.
Especialistas em segurança informam às pessoas comuns sobre a segurança dos sistemas modernos
Normalmente, esses tipos de vulnerabilidades estão relacionados aos chamados ataques de canal lateral, que envolvem o acesso físico de um invasor ao computador atacado e a instalação de software malicioso nele. No entanto, no caso do NetCAT, tudo é muito mais sério. Os pesquisadores mostraram que esse tipo de ataque de canal lateral pode ser realizado remotamente – por meio de um ambiente de rede.
As raízes da vulnerabilidade NetCAT (CVE-2019-11184) remontam à tecnologia Intel DDIO, que a gigante de microprocessadores implementou há vários anos em processadores baseados em servidor. Inicialmente, a tecnologia visava aumentar a produtividade, mas agora a tentativa de cortar custos está repleta de problemas sérios. O DDIO permite que periféricos, principalmente controladores de rede, obtenham acesso direto à memória cache do processador, ignorando a memória de acesso aleatório, como normalmente funciona.
De acordo com o plano original, isso deveria acelerar o processamento de pacotes de rede em data centers e plataformas em nuvem, pois eles processam um grande número de solicitações de rede ao mesmo tempo e a RAM geralmente se torna um gargalo. Portanto, a função DDIO foi ativada em todos os processadores da classe de servidor Intel desde 2012, incluindo as famílias Xeon E5, E7 e SP.
Os pesquisadores conduziram uma demonstração de exploração da vulnerabilidade NetCAT e mostraram que o envio de pacotes de rede especialmente preparados para um computador com um processador Intel compatível com DDIO permite descobrir quais dados são processados no sistema em paralelo. Um invasor não obtém acesso a nenhum dado, mas apenas à parte que vem em outros pacotes de rede no momento do ataque e cai na área compartilhada do cache do processador alocado para o processamento do DDIO. No entanto, mesmo isso é suficiente para roubar informações críticas. Por exemplo, durante a demonstração, os pesquisadores foram capazes de analisar e contar as teclas digitadas em uma sessão SSH criptografada em execução paralela em um sistema atacado.
O ataque NetCAT só pode funcionar graças à tecnologia DDIO, no entanto, a inclusão da tecnologia RDMA, que permite abrir o acesso remoto à memória do computador ignorando os buffers do sistema operacional, o torna ainda mais eficaz.
A Intel foi alertada sobre o NetCAT em junho e hoje lançou recomendações de mitigação para esses ataques (INTEL-SA-00290). O risco de vulnerabilidade é descrito pela Intel como baixo. A empresa acredita que explorar essa vulnerabilidade é difícil porque requer uma análise estatística das ações do usuário e um nível especial de acesso aos sistemas com as tecnologias DDIO e RDNA ativadas. Nos mesmos ambientes em que essas tecnologias são comumente usadas, de acordo com a Intel, os clusters de computação não têm acesso a redes não confiáveis.
No entanto, em casos críticos, a Intel recomenda mudar para o uso de módulos de software que não permitem análise estatística do tempo de processamento de dados. Os pesquisadores acreditam que a Intel corre o risco do NetCAT de maneira superficial e recomenda desativar pelo menos o RDNA, o que reduz significativamente a eficácia do ataque. .