Spectre geri döndü: Branch Target Reuse JIT motorlarını tehdit ediyor

Spectre mikro mimari güvenlik açığı yeniden ortaya çıktı; bu kez tarayıcılar, runtime'lar ve çekirdekler için makine kodu üreten JIT (just-in-time) motorlarına karşı. Araştırma Hollanda'daki Vrije Universiteit ve İtalya'daki Scuola Superiore Sant'Anna araştırmacıları tarafından sunuldu.

Spekülatif yürütme ve yan kanallar

Spekülatif yürütme, işlemcinin kod çağrılmadan önce yürütmesine olanak tanır ve performansı artırır. Yan kanal saldırısını açan da tam olarak budur: işlemci bir sırra dokunur, sonucu mimari olarak saklamaz, ancak önbellekte ve zaman ölçümlerinde bir iz kalır; bu izin okunması sırrın belirlenmesini sağlar.

2018'de Spectre ve Meltdown açıklandıktan sonra çip üreticileri ve OS geliştiricileri bunları düzeltmeye başladı. O zamandan beri araştırmacılar, 2025 VMScape dahil birkaç düzine varyant buldu; bu, dolaylı dallanma tahminine dayanan „Spectre v2“ saldırısıdır. Böyle bir dal, sonraki komutu doğrudan adlandırmaz, bulunduğu adrese işaret eder; saldırgan tahmin bloğunu istenen adrese spekülatif olarak atlamaya zorlar.

Branch Target Reuse: yeni biçim

Vrije Universiteit ve Scuola Superiore Sant'Anna araştırmacıları (Sander Wiebing, Yuhui Zhu, Alessandro Biondi, Cristiano Giuffrida) Spectre'yi yeni bir biçimde canlandırdı: Branch Target Reuse (BTR), JIT derleyicilerine karşı ilk pratik in-place Spectre v2 saldırısı. in-place saldırı kurbanın dalıyla sınırlıdır; out-of-place ise başka bir dalın hedefini kullanır.

BTR, Linux cBPF, Oracle GraalVM ve Mozilla SpiderMonkey JIT motorlarında kalan koddan ortaya çıktı. Yazarlara göre işlemciler kendi kendini değiştirmeden sonra kod tutarlılığını geri yükler, ancak dolaylı dallanma tahmini kayıtlarını her zaman geçersiz kılmaz. Kod önbelleği yeniden doldurulurken bu hedefler tekrar kullanılır; bu da spekülatif execute-after-free olanağı verir.

Etki ve korunma

Sonuç olarak saldırgan, FineIBT benzeri bazı korumaları atlayarak spekülatif kontrol akışını zincirleyebilir. Araştırmacılar Intel işlemcili Linux çekirdeğine karşı iki PoC exploit geliştirdi ve cBPF constant binding korumasına rağmen root parola hash'ini çıkardı. Intel Raptor Cove'da sızıntı hızı 5,7 KB/წმ, Lion Cove'da 5,4 KB/წმ; yavaş ama ayrıcalıksız bir kullanıcı için yeterli.

Açıklamanın ardından Linux çekirdek geliştiricileri ve Oracle azaltma önlemleri ekledi, iki CVE atandı: CVE-2026-64507 ve CVE-2026-64508. Mozilla site isolation üzerinde çalışmaya öncelik verdi. IBPB benzeri güçlü önlemler etkilidir ancak performansı düşürür. Branch Target Reuse çalışması ACM Conference on Computer and Communications Security (CCS) 2026'ya kabul edildi; konferans 15-19 Kasım'da Lahey'de yapılacak.