Spectre-ը վերադառնում է. Branch Target Reuse-ը սպառնում է JIT շարժիչներին

Spectre միկրոարխիտեկտուրային խոցելիությունը կրկին վերադարձել է՝ այս անգամ JIT (just-in-time) շարժիչների դեմ, որոնք մեքենայական կոդ են գեներացնում բրաուզերների, runtime-ների և միջուկների համար: Հետազոտությունը ներկայացրել են Նիդերլանդների Vrije Universiteit-ի և Իտալիայի Scuola Superiore Sant'Anna-ի հետազոտողները:

Սպեկուլյատիվ կատարում և կողային ալիքներ

Սպեկուլյատիվ կատարումը թույլ է տալիս պրոցեսորին կատարել կոդը մինչև դրա կանչը և բարձրացնում է արտադրողականությունը: Հենց դա է բացում կողային ալիքի հարձակումը. պրոցեսորը դիպչում է գաղտնիքին, արդյունքը ճարտարապետորեն չի պահում, սակայն քեշում և ժամանակի չափումներում հետք է մնում, որի ընթերցումը թույլ է տալիս որոշել գաղտնիքը:

2018 թվականին Spectre-ի և Meltdown-ի բացահայտումից հետո չիպերի արտադրողները և OS-ի ստեղծողները սկսեցին դրանք ուղղել: Այդ ժամանակից ի վեր հետազոտողները գտել են մի քանի տասնյակ տարբերակներ, ներառյալ 2025 թվականի VMScape-ը՝ «Spectre v2» հարձակումը, որը հիմնվում է անուղղակի ճյուղավորման կանխատեսման վրա: Նման ճյուղավորումը ուղղակիորեն չի նշում հաջորդ հրահանգը, այլ մատնանշում է այն հասցեն, որտեղ այն գտնվում է. հարձակվողը կանխատեսման բլոկին ստիպում է սպեկուլյատիվ անցնել ցանկալի հասցեով:

Branch Target Reuse. նոր ձև

Vrije Universiteit-ի և Scuola Superiore Sant'Anna-ի հետազոտողները (Sander Wiebing, Yuhui Zhu, Alessandro Biondi, Cristiano Giuffrida) Spectre-ը վերակենդանացրել են նոր ձևով՝ Branch Target Reuse (BTR), JIT կոմպիլյատորների դեմ առաջին գործնական in-place Spectre v2 հարձակումը: in-place հարձակումը սահմանափակվում է զոհի ճյուղով, իսկ out-of-place-ը օգտագործում է մեկ այլ ճյուղի թիրախը:

BTR-ն առաջացել է Linux cBPF-ի, Oracle GraalVM-ի և Mozilla SpiderMonkey-ի JIT շարժիչներում մնացած կոդից: Հեղինակների բացատրությամբ՝ պրոցեսորները ինքնափոփոխումից հետո վերականգնում են կոդի հետևողականությունը, սակայն միշտ չէ, որ չեղարկում են անուղղակի ճյուղավորման կանխատեսման հնացած գրառումները: Կոդի քեշի նորից լցման ժամանակ այդ թիրախները կրկին օգտագործվում են, ինչը հնարավորություն է տալիս սպեկուլյատիվ execute-after-free-ի:

Ազդեցություն և պաշտպանություն

Արդյունքում հարձակվողը կարող է շղթայել սպեկուլյատիվ կառավարման հոսքը՝ շրջանցելով FineIBT-ի նման որոշ պաշտպանություններ: Հետազոտողները մշակել են երկու PoC էքսպլոյթ Intel պրոցեսորով Linux-ի միջուկի դեմ և հանել են root-ի գաղտնաբառի hash-ը՝ չնայած cBPF-ի constant binding պաշտպանությանը: Արտահոսքի արագությունը Intel Raptor Cove-ի վրա 5,7 KB/წმ է, Lion Cove-ի վրա՝ 5,4 KB/წმ, ինչը դանդաղ է, բայց բավարար է ոչ արտոնյալ օգտվողի համար:

Բացահայտումից հետո Linux-ի միջուկի մշակողները և Oracle-ը ներդրել են մեղմացման միջոցներ, շնորհվել է երկու CVE՝ CVE-2026-64507 և CVE-2026-64508: Mozilla-ն առաջնահերթություն է տվել site isolation-ի վրա աշխատանքին: IBPB-ի նման ուժեղ միջոցները արդյունավետ են, սակայն նվազեցնում են արտադրողականությունը: Branch Target Reuse-ի աշխատանքը ընդունվել է ACM Conference on Computer and Communications Security (CCS) 2026-ին, կոնֆերանսը տեղի կունենա նոյեմբերի 15-19-ը Հաագայում: