Investigadores de VUsec (Grupo de Seguridad de Sistemas y Redes de la VU Ámsterdam) y de la Scuola Superiore Sant'Anna diseñaron el nuevo ataque y evaluaron su practicidad contra el motor JavaScript de Firefox, SpiderMonkey, GraalVM y el cBPF del kernel de Linux.

Cristiano Guiffrida de VUSec explicó que este ataque sigue siendo un hallazgo importante, considerando que desde 2018 se asumía que este tipo de ataques no eran prácticos debido a que el código que se modifica a sí mismo (SMC) servía como base para la generación de código dinámico en los motores JIT convencionales.

BTR demuestra lo contrario, mostrando que los ataques de ejecución transitoria basados en SMC son prácticos en entornos reales y pueden usarse para filtrar el hash de la contraseña de root.

Los investigadores notificaron a los proveedores afectados, y los problemas recibieron los identificadores CVE-2026-64507 y CVE-2026-64508. Las correcciones ya han sido integradas en el kernel de Linux.

btr filtra el hash de la contraseña de root

En el ataque de canal lateral de ejecución especulativa Spectre-v2, la CPU es engañada para ejecutar brevemente instrucciones en un destino de salto predicho erróneamente, lo que puede exponer datos a través de la caché de la CPU.

Su variante BTR hace esto reutilizando una predicción antigua después de que el código en ese destino ha sido reemplazado, explican los investigadores en un documento técnico.

El nuevo ataque explota una brecha entre el código compilado por JIT y el predictor de saltos de la CPU; específicamente, cuando un motor JIT libera código y coloca código nuevo en la misma dirección, la CPU aún puede recordar un objetivo de salto indirecto del código antiguo.

En un salto posterior, un punto donde la CPU decide qué instrucción ejecutar a continuación, puede ejecutar brevemente el nuevo código desde ese objetivo obsoleto de forma especulativa, aunque la ejecución normal iría a otro lugar.

Descripción general del ataque BTR
Fuente: VUSec

En sus pruebas en Linux, los investigadores utilizaron programas BPF clásicos sin privilegios para entrenar esa predicción, liberar el programa original y colocar un programa diferente en la memoria reutilizada.

El objetivo obsoleto llevó a la CPU a ejecutar instrucciones diseñadas por el atacante en un desplazamiento desalineado, provocando el acceso a datos durante la ejecución especulativa y generando un rastro de caché medible que permitió a los investigadores inferir los datos byte por byte.

A continuación, localizaron un proceso 'su' en ejecución y recuperaron el hash de la contraseña de root de su memoria a una velocidad de ocho bytes por segundo.

“Evaluamos el exploit de extremo a extremo tanto en Raptor Cove como en Lion Cove, y filtramos la contraseña en un promedio de 3 y 5 minutos, respectivamente”, afirman los investigadores [https://www.vusec.net/projects/btr/].


Desde un punto de vista práctico, filtrar un hash de contraseña no es lo mismo que recuperar la contraseña en texto plano. Sin embargo, un atacante puede intentar crackear el hash fuera de línea o utilizando recursos de computación en la nube, y el éxito dependerá del algoritmo de hashing y de la fortaleza de la contraseña.

El documento técnico publicado demuestra dos exploits de extremo a extremo contra Linux cBPF: uno con la configuración predeterminada y otro con la opción de endurecimiento de cegado constante habilitada.

En este último, el exploit se adapta para codificar instrucciones controladas por el atacante en los desplazamientos de salto y aun así recuperar el hash en cinco minutos.

Exploit adaptado al endurecimiento de cegado constante
Fuente: VUSec

Los investigadores también examinaron SpiderMonkey de Firefox y GraalVM de Oracle como motores JIT independientes para la exposición a BTR.

En SpiderMonkey, la prueba de concepto de VUSec mostró que las predicciones obsoletas sobreviven a la reutilización del código, pero no un exploit completo del navegador.

En GraalVM, los investigadores identificaron una forma de omitir especulativamente una comprobación de sandbox, pero la actividad del motor borró las predicciones antes de que pudieran completar un ataque en sus experimentos.

Respecto a la imagen del mundo real, los investigadores señalan que la mayoría del hardware moderno es vulnerable a este nuevo ataque BTR.

“La predicción de saltos indirectos es inherente a las CPU modernas, y BTR explota la desincronización entre el predictor de saltos y el estado real del código”, explicó VUSec.

“Ninguna CPU actual tiene un mecanismo para mantener los dos sincronizados, por lo que hasta que los proveedores añadan uno, su CPU es vulnerable”.

“Confirmamos este comportamiento en cada CPU que probamos, cubriendo Intel, AMD y Arm”.

Se recomienda a los usuarios aplicar las actualizaciones de SO y firmware, y se aconseja a los usuarios de Linux que actualicen a la versión más reciente del kernel.

Las investigaciones previas de VUsec sobre ejecución especulativa y ataques microarquitectónicos de CPU incluyen RIDL, BHI, SLAM y otros ataques dirigidos a procesadores modernos.

Fuente:
BleepingComputer