Una nueva variante de Spectre llamada BTR, que afecta a compiladores JIT en Linux, Oracle y Mozilla. Esta vulnerabilidad permite filtrar datos sensibles mediante la ejecución especulativa, aunque ya se han implementado mitigaciones en el kernel de Linux y Oracle.

La vulnerabilidad de microarquitectura Spectre ha regresado una vez más, esta vez para afectar a los motores just-in-time (JIT) que generan código máquina para navegadores, entornos de ejecución y núcleos.

La vulnerabilidad se encuentra en muchas CPUs que utilizan la ejecución especulativa, el proceso de ejecutar código antes de que sea llamado para mejorar el rendimiento. Los investigadores descubrieron que la ejecución especulativa abre la puerta a ataques de canal lateral a través de los cuales se pueden exponer o inferir secretos.

Cuando se conoció la noticia de ese riesgo, los fabricantes de chips y los desarrolladores de SO se apresuraron a solucionar estas vulnerabilidades, que fueron denominadas Spectre y Meltdown. Desde entonces, los investigadores han encontrado dos o tres docenas de variaciones, como VMScape (2025), uno de varios ataques llamados "Spectre v2" que intentan explotar la predicción de saltos indirectos, donde el control del programa se transfiere indirectamente apuntando a una dirección donde se puede encontrar la siguiente instrucción en lugar de especificar la instrucción misma.

El atacante entrena al predictor de saltos para ejecutar especulativamente hacia una dirección elegida con el fin de filtrar datos sobre el estado de la microarquitectura.

Investigadores de la Vrije Universiteit de los Países Bajos y la Scuola Superiore Sant’Anna de Italia han revivido Spectre en una forma llamada Branch Target Reuse (BTR), que describen como el primer ataque práctico de Spectre v2 "in-place" que ataca a los compiladores just-in-time (JIT). Un ataque "in-place" se limita a la rama de la víctima, mientras que un ataque "out-of-place" se basa en la especulación dirigida hacia un objetivo en una rama diferente.

Los investigadores –Sander Wiebing, Yuhui Zhu, Alessandro Biondi y Cristiano Giuffrida– descubrieron que esta nueva forma de Spectre puede conjurarse a partir de código dejado en motores JIT, incluyendo Linux cBPF, Oracle GraalVM y Mozilla SpiderMonkey.

"La idea clave detrás del ataque es que, aunque las CPUs modernas restauran la coherencia del código arquitectónico después de la automodificación, no necesariamente invalidan las entradas obsoletas de predicción de saltos indirectos (es decir, los objetivos de salto)", explican los autores. "En los motores JIT, estos objetivos obsoletos pueden sobrevivir al código original y ser reutilizados más tarde cuando el caché de código se repuebla, produciendo una primitiva especulativa de ejecución después de liberación (execute-after-free)".

El resultado es que un atacante puede tomar el control del flujo especulativo de una manera que evita algunas defensas de software como FineIBT [PDF]. Los autores demostraron que podían explotar este fallo diseñando dos exploits de prueba de concepto contra un núcleo Linux basado en Intel que revelan el hash de la contraseña de root incluso con la defensa de vinculación constante proporcionada por cBPF.

La tasa de filtración esperada es de 5,7 KB/seg para los chips Intel Raptor Cove y 5,4 KB/seg para Lion Cove. Es lento, pero suficiente para que un usuario sin privilegios extraiga un hash de contraseña sensible de un sistema vulnerable.

Después de que los investigadores divulgaran sus hallazgos, los desarrolladores del núcleo Linux y Oracle implementaron mitigaciones. Se asignaron dos CVE: CVE-2026-64507 y CVE-2026-64508. Mozilla, dijeron los investigadores, ha optado por priorizar el trabajo en el aislamiento del sitio en lugar de abordar el problema directamente. Se dice que mitigaciones fuertes como IBPB son efectivas pero añaden complejidad y dificultan el rendimiento.

El artículo sobre Branch Target Reuse ha sido aceptado para su publicación en la Conferencia de la ACM sobre Seguridad de Computadoras y Comunicaciones (CCS) 2026, que se llevará a cabo del 15 al 19 de noviembre en La Haya, Países Bajos. ®

Fuente:
TheRegister