Intel Xeon ve Diğer Sunucu Dereceli CPU'lar, DDIO ve RDMA Üzerinden Veri Sızıntısına İzin Veren NetCAT Güvenlik Açığından Zarar Görüyor

Özellikle sunucularda ve ana bilgisayarlarda kullanılan Intel CPU'ların, saldırganların işlenen verilere göz atmasına olanak tanıyan bir güvenlik açığına karşı savunmasız olduğu bulundu. Sunucu sınıfı Intel Xeon ve diğer benzer işlemcilerdeki güvenlik hatası, saldırganların, bir CPU'nun ne üzerinde çalıştığını anlayabilen ve verileri anlamak ve toplamak için müdahale edebilen bir yan kanal saldırısı başlatmasına potansiyel olarak izin verebilir.

Amsterdam'daki Vrije Üniversitesi'ndeki araştırmacılar, Intel’in sunucu sınıfı işlemcilerinin bir güvenlik açığından muzdarip olduğunu bildirdi. Şiddetli olarak sınıflandırılabilecek kusuru NetCAT olarak adlandırdılar. güvenlik açığı, saldırganlar için olasılıkları açar İşlemleri çalıştıran CPU'lardan yararlanmak ve verileri çıkarmak için. Güvenlik açığından uzaktan yararlanılabilir ve bu Intel Xeon işlemcilere güvenen şirketler, saldırı ve veri hırsızlığı girişimlerinin olasılığını sınırlamak için yalnızca sunucularının ve ana bilgisayarlarının açığa çıkmasını en aza indirmeye çalışabilir.

DDIO ve RDMA Teknolojilerine Sahip Intel Xeon CPU'lar Güvenlik Açığı:

Vrije Üniversitesi'ndeki güvenlik araştırmacıları, güvenlik açıklarını ayrıntılı olarak araştırdılar ve yalnızca birkaç belirli Intel Zenon CPU'nun etkilendiğini keşfettiler. Daha da önemlisi, bu CPU'ların yararlanılabilecek iki belirli Intel teknolojisine sahip olması gerekiyordu. Araştırmacılara göre, saldırının başarılı olması için öncelikle Xeon CPU hattında bulunan iki Intel teknolojisine ihtiyacı vardı: Data-Direct I / O Teknolojisi (DDIO) ve Uzaktan Doğrudan Bellek Erişimi (RDMA). NetCAT güvenlik açığıyla ilgili ayrıntılar bir araştırma makalesinde mevcuttur. Resmi olarak NetCAT güvenlik açığı CVE-2019-11184 olarak etiketlendi.

Intel, Intel Xeon CPU serisinin bazılarında güvenlik açığını kabul etmiş görünüyor. Şirket, NetCAT'ın DDIO ve RDMA'yı destekleyen Xeon E5, E7 ve SP işlemcilerini etkilediğini belirten bir güvenlik bülteni yayınladı. Daha spesifik olarak, DDIO ile ilgili temel bir sorun, yan kanal saldırılarına olanak tanır. DDIO, 2012'den beri Intel Zenon CPU'larda yaygındır. Diğer bir deyişle, şu anda sunucularda ve ana bilgisayarlarda kullanılmakta olan birkaç eski sunucu sınıfı Intel Xeon CPU savunmasız olabilir.

Öte yandan, Vrije Üniversitesi araştırmacıları, RDMA'nın kendi NetCAT istismarının "hedef sunucudaki ağ paketlerinin göreceli bellek konumunu cerrahi olarak kontrol etmesine" izin verdiğini söyledi. Basitçe söylemek gerekirse, bu, yalnızca CPU'ların çalıştırdığı işlemlerden bilgi elde etmekle kalmayan, aynı zamanda aynı şeyi manipüle edebilen tamamen başka bir saldırı sınıfıdır.

Güvenlik açığı, bir ağdaki güvenilmeyen cihazların "artık yerel erişimi olmayan uzak sunuculardan bir SSH oturumundaki tuş vuruşları gibi hassas verileri sızdırabileceği" anlamına gelir. Söylemeye gerek yok, bu, veri bütünlüğünü tehdit eden oldukça ciddi bir güvenlik riskidir. Bu arada, Vrije Üniversitesi araştırmacıları, bu yılın Haziran ayında yalnızca Intel'i Intel Zenon CPU'ları içindeki güvenlik açıkları konusunda uyarmadı, aynı zamanda Hollanda Ulusal Siber Güvenlik Merkezi'ni de uyardı. Bir takdir göstergesi olarak ve güvenlik açığının Intel ile ifşa edilmesini koordine ettiği için, üniversite bir ödül bile aldı. Kesin miktar açıklanmadı, ancak sorunun ciddiyeti göz önüne alındığında önemli olabilirdi.

NetCAT Güvenlik Açığına Karşı Nasıl Korunur?

Şu anda, NetCAT güvenlik açığından korunmanın tek garantili yöntemi, DDIO özelliğini tamamen devre dışı bırakmaktır. Ayrıca araştırmacılar, etkilenen Intel Xeon işlemcilere sahip kullanıcıların güvenli olması için RDMA özelliğini de devre dışı bırakmaları gerektiği konusunda uyarıyorlar. Söylemeye gerek yok, birçok sistem yöneticisi, önemli bir özellik olduğu için sunucularında DDIO'dan vazgeçmek istemeyebilir.

Intel, Xeon CPU kullanıcılarının "güvenilmeyen ağlardan doğrudan erişimi sınırlandırması" ve "sabit zamanlı stil kodu kullanarak zamanlama saldırılarına dirençli yazılım modülleri" kullanması gerektiğini belirtti. Ancak Vrije Üniversitesi araştırmacıları, yalnızca yazılım modülünün NetCAT'e karşı gerçekten savunma yapamayabileceği konusunda ısrar ediyorlar. Bununla birlikte, modüller gelecekte benzer istismarlara yardımcı olabilir.