BTR: هجوم Spectre v2 جديد يسرّب البيانات من ذاكرة Linux رغم الحمايات

نشر باحثو VUSec وScuola Superiore Sant'Anna تفاصيل نسخة جديدة من Spectre v2. يُسمى الهجوم Branch Target Reuse (BTR) وهو يستهدف مترجمات Just-In-Time (JIT) التي تستخدمها المتصفحات وبيئات تشغيل لغات البرمجة ونواة Linux.

وفقًا للورقة المصاحبة للباحثين Sander Wiebing وYuhui Zhu وAlessandro Biondi وCristiano Giuffrida، تستعيد وحدات CPU الحديثة الاتساق المعماري بعد الكود ذاتي التعديل، لكنها لا تُبطل دائمًا إدخالات التنبؤ بالفروع غير المباشرة القديمة. في مترجمات JIT تعيش هذه الإدخالات طويلًا للكود الأصلي وتُعاد استخدامها عند إعادة ملء ذاكرة التخزين المؤقت للكود، ما ينشئ بدائية execute-after-free مؤقتة.

يسمح ذلك للمهاجم بإعادة توجيه تدفق التحكم مؤقتًا إلى كود مُولَّد حديثًا، أو تجاوز حمايات البرمجيات، أو الوصول إلى gadgets غير مصفوفة بشكل صحيح.

على ماذا اختُبر الهجوم

اختُبر BTR على محرك JIT SpiderMonkey في Mozilla Firefox، وعلى GraalVM، وعلى cBPF JIT في نواة Linux. وُجدت الثلاثة عرضة للخطر، مع أن إمكانات الاستغلال وسرعة التسريب تختلف اختلافًا كبيرًا. يفترض الهجوم أن المهاجم قادر بالفعل على تنفيذ كود في محرك JIT دون امتيازات.

hash كلمة مرور root خلال دقائق

لإثبات المفهوم، أنشأ الباحثون استغلالين كاملين ضد نواة Linux. وبحسب قولهم، على نظام Intel محدث بالكامل ومعه آليات الحماية مفعلة افتراضيًا، يستخرج هذان الاستغلالان hash كلمة مرور root ويستعيدانه خلال دقائق.

الإصلاحات ورد فعل الشركات

أُضيفت إصلاحات مطورة ضد BTR إلى نواة Linux بالفعل (CVE-2026-64507، CVE-2026-64508). يمنع GraalVM إعادة استخدام المناطق عبر عشوائية عناوين ذاكرة التخزين المؤقت لكود JIT. كانت Mozilla تدرس إصلاحات قائمة على IBPB (Indirect Branch Predictor Barrier)، لكنها الآن تعطي الأولوية لإكمال site isolation ونشره.

قبل النشر بنحو شهرين، وصف باحثا MIT CSAIL، Daniël Trujillo وMengjia Yan، هجوم تنفيذ تخميني يُعرف باسم Interrupt Injection. يمكنه تجاوز حمايات Spectre v2 وتسريب ذاكرة النواة من أنظمة Linux المبنية على معالجات Intel وAMD.