Zusammenfassung

Forscher haben eine Methode entwickelt, mit der sich aktuelle Schutzmaßnahmen gegen die Spectre-v2-Sicherheitslücke in Intel- und AMD-Prozessoren umgehen lassen. Tags: #Cyber Security | #Linux

Im Detail

Forscher haben eine Methode entwickelt, mit der sich aktuelle Schutzmaßnahmen gegen die Spectre-v2-Sicherheitslücke in Intel- und AMD-Prozessoren umgehen lassen.

Spectre v2, auch als Branch Target Injection bekannt, nutzt die Sprungvorhersage moderner Prozessoren aus, um den Prozessor zur spekulativen Ausführung von Befehlen an einer vom Angreifer gewählten Stelle zu bewegen und so eigentlich geschützte Linux-Daten offenzulegen.

Aktuelle Gegenmaßnahmen wie Intels eIBRS oder AMDs Safe RET bereinigen den internen Zustand der Sprungvorhersage-Einheit gezielt, bevor sicherheitsrelevanter Code ausgeführt wird, und gehen dabei implizit davon aus, dass zwischen dieser Bereinigung und der tatsächlichen Nutzung nichts Schädliches geschehen kann.

Genau an diesem Punkt setzen die Forscher Daniël Trujillo und Mengjia Yan vom MIT Computer Science and Artificial Intelligence Laboratory an.

Die von ihnen als Time-of-Neutralization to Time-of-Use, kurz TONTOU, bezeichnete Angriffsklasse nutzt aus, dass zwischen Bereinigung und Nutzung ein winziges, aber messbares Zeitfenster verbleibt, auf einem AMD Zen 2 System beispielsweise gerade einmal zwei Befehle beziehungsweise sechs Byte.

Mit einer als Interrupt Injection bezeichneten Technik lassen unprivilegierte Programme dabei gezielt Timer-Interrupts während der Kernel-Ausführung auslösen.

Trifft ein solcher Interrupt genau in dieses Zeitfenster, wird der Kernel zur Interrupt-Behandlungsroutine umgeleitet, über die sich der mikroarchitektonische Zustand der Sprungvorhersage erneut gezielt verunreinigen lässt, noch bevor die eigentlich geschützte Verzweigung genutzt wird.

Passworthashes in fünf von zehn Testläufen ausgelesen

Auf einem AMD -Zen-2-System mit Linux 6.14.0 und aktuellen Spectre-v2-Schutzmaßnahmen gelang es den Forschern, beliebigen Kernel-Speicher mit einer Rate von 5,47 Byte pro Sekunde und einer Genauigkeit von 91,97 Prozent auszulesen.

In fünf von zehn Testläufen fanden und extrahierten sie dabei erfolgreich die Datei /etc/shadow, in der Linux-Systeme Passworthashes speichern, mit einer durchschnittlichen Dauer von 18 Minuten pro erfolgreichem Durchlauf.

Der Angriff funktioniert den Forschern zufolge grundsätzlich auch auf Intel-Prozessoren, dort seien jedoch zusätzliche softwareseitige Voraussetzungen für eine erfolgreiche Ausnutzung nötig.

Um die Zuverlässigkeit weiter zu erhöhen, kombinierten die Forscher die Interrupt-Injection-Technik zusätzlich mit Inception, einem bereits zuvor offengelegten Angriff, an dessen Entwicklung Trujillo ebenfalls beteiligt war.

Patches bereits im Juni eingespielt, offizielle Vorstellung bei Black Hat

Der zugrunde liegende Linux-Patch wurde bereits am 2. Juni 2026 in die Kernel-Versionen 6.18.43, 6.6.149 und 6.1.181 aufgenommen, rund zwei Monate vor der öffentlichen Vorstellung der Forschungsarbeit. AMD veröffentlichte am 6. August unter der Kennung AMD-SB-7061 eine eigene Sicherheitsmitteilung, die das Problem mit der konkreten Linux-Umsetzung der Safe-RET-Gegenmaßnahme in Verbindung bringt.

Intel erklärte nach Angaben von Berichten, aus eigener Sicht seien keine zusätzlichen Schutzmaßnahmen erforderlich. Trujillo und Yan stellten ihre Ergebnisse auf der Sicherheitskonferenz Black Hat USA vor, eine ausführliche wissenschaftliche Veröffentlichung soll zusätzlich vom 27. bis 29. Oktober auf der USENIX Security 2026 folgen.

(red)

Tags: #Cyber Security | #Linux