The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

20.03.2009 23:56  Уязвимость в процессорах Intel, позволяющая выполнить код на уровне SMM

Известная польская исследовательница в области компьютерной безопасности Жанна Рутковская (Joanna Rutkowska) опубликовала подробности, касающиеся новой уязвимости в процессорах Intel, позволяющей на многих современных материнских платах через манипуляции с кешем получить полный доступ к данным SMRAM, защищенной области памяти режима System Management Mode (SMM). Реализованы два рабочих эксплоита: один для получения полного дампа SMRAM, другой для выполнения кода в режиме SMM, более привилегированного, чем код выполняющийся в нулевом кольце защиты (Ring 0).

С практической точки зрения данную уязвимость можно использовать для создания неуязвимых SMM руткитов (невозможно обнаружить и удалить), компрометирования работы гипервизоров виртуальных машин и обхода механизма защиты операционных систем.

  1. Главная ссылка к новости (http://theinvisiblethings.blog...)
  2. PDF документ с полным описанием принципов атаки
  3. Код эксплоита
Лицензия: CC-BY
Тип: Интересно / Проблемы безопасности
Ключевые слова: security, cpu, intel, firmware
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.1, Аноним (-), 00:50, 21/03/2009 [ответить] [показать ветку] [···]    [к модератору]
  • +/
    Прямо не Рутковская, а Руткитская... И что же, это начиная с 8086, или только в Core2Duo, где, торопясь обогнать конкурентов, сделали много ошибок?
     
     
  • 2.6, User294 (??), 01:46, 21/03/2009 [^] [ответить]     [к модератору]
  • +/
    SMM существует с времен кажется, i386 Малодокументированный и дефолтный обработч... весь текст скрыт [показать]
     
     
  • 3.30, Аноним (30), 21:59, 21/03/2009 [^] [ответить]    [к модератору]  
  • +/
    SMM это один из режимов работы процессора, как защищённый или реальный, он активируется по внешнему прерыванию, он документирован нужно только скачать документацию с сайта intel
     
     
  • 4.44, User294 (ok), 15:58, 22/03/2009 [^] [ответить]     [к модератору]  
  • +/
    кроме самого обработчика, собственно - Операционка запускаясь на энном ж... весь текст скрыт [показать]
     
  • 3.31, Аноним (-), 23:19, 21/03/2009 [^] [ответить]    [к модератору]  
  • +/
    Слышал звон.
     
     
  • 4.33, anonymous (??), 02:12, 22/03/2009 [^] [ответить]     [к модератору]  
  • +/
    ты-то и звона не слышал http www intel com design pentiumii manuals 243192 htm... весь текст скрыт [показать]
     
  • 4.34, anonymous (??), 02:33, 22/03/2009 [^] [ответить]     [к модератору]  
  • +/
    12 4 2 SMRAM Caching An Intel Architecture processor supporting SMM does not un... весь текст скрыт [показать]
     
  • 4.35, anonymous (??), 03:19, 22/03/2009 [^] [ответить]     [к модератору]  
  • +/
    видимо система SMM дёргает не редко и если сбрасывать кэш, то производительность... весь текст скрыт [показать]
     
     
  • 5.36, PavelR (??), 06:58, 22/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Подскажите мне, ленивому, где взять эксплойт мыл pavel2000 ngs ru Есть машин... весь текст скрыт [показать]
     
     
  • 6.39, anonymous (??), 10:45, 22/03/2009 [^] [ответить]    [к модератору]  
  • +/
    http://invisiblethingslab.com/itl/Resources.html
    там есть статья и код, это конечно не полезный эксплойт, но можешь shelcode.s подправить
    нужен линукс
     
  • 3.60, Ivan (??), 05:09, 24/03/2009 [^] [ответить]     [к модератору]  
  • +/
    system safety functions, such as shutdown on high CPU temperature power... весь текст скрыт [показать]
     
  • 2.11, F (?), 02:23, 21/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Сама архитектура x86 - это и есть ошибка, которую сделали, торопясь обогнать кон... весь текст скрыт [показать]
     
     
  • 3.25, Sem (??), 18:24, 21/03/2009 [^] [ответить]    [к модератору]  
  • +/
    ага. и очень удачная ошибка получилась.
     
     
  • 4.40, x0r (??), 11:06, 22/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Ваш сарказм понятен, но не конструктивен есть достаточно много вещей, который... весь текст скрыт [показать]
     
  • 4.45, User294 (ok), 16:12, 22/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Понимаете, маркетологи способны продать даже прошлогодний снег эскимосам Ну вот ... весь текст скрыт [показать]
     
  • 3.43, Keeper (??), 15:36, 22/03/2009 [^] [ответить]    [к модератору]  
  • +/
    Допустим, что архитектура x86 - ошибка и вообще не труЪ. Какую же архитектуру, в таком случае, вы предлагаете использовать вместо неё? ARM?
     
     
  • 4.46, Аноним (-), 20:08, 22/03/2009 [^] [ответить]    [к модератору]  
  • +/
    > Какую же архитектуру, в таком случае, вы предлагаете использовать вместо неё? ARM?

    amd64 например, с полностью вырезанной обратной совместимостью

     
     
  • 5.52, OctoCat (?), 15:48, 23/03/2009 [^] [ответить]    [к модератору]  
  • +/
    >> Какую же архитектуру, в таком случае, вы предлагаете использовать вместо неё? ARM?
    >
    >amd64 например, с полностью вырезанной обратной совместимостью

    LOL

     
  • 4.53, User294 (??), 17:28, 23/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Интель хотел итаниум Но при их позиционировании как архидорогие и архикрутые про... весь текст скрыт [показать]
     
  • 1.2, bAlex (?), 00:50, 21/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Вот ещё одно дырявое корыто - интель. Мир спасёт здоровая конкуренция процов различной архитектуры...
    Интересно, а как у процов АМД с этим делом...
     
     
  • 2.7, User294 (??), 01:58, 21/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Не бойтесь, вам еще и для ускорения виртуализации поднасра W эээ пардон, добави... весь текст скрыт [показать]
     
  • 2.18, Mikk (??), 09:38, 21/03/2009 [^] [ответить]    [к модератору]  
  • +/
    Если это бэкдор, то будь уверен...
     
  • 1.3, Роман (??), 01:20, 21/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Я, возможно, опять что-то не понимаю.
    Допустим, мы смогли, отравив кеш, что-то записать в SMRAM. Соотвественно, получился добротный руткит.
    Оставляя за пределами обсуждения необходимость рутовых привелегий для данного действия, непонятным остается одно: как может этот руткит остаться незамеченным в системе, если мы можем, используя ту же уязвимость, получить полный дамп SMRAM и тупо проверить его контрольную сумму? Либо еще каким-либо способом определить, изменилась ли SMRAM.
     
     
  • 2.4, vint (??), 01:24, 21/03/2009 [^] [ответить]    [к модератору]  
  • +/
    хыыы, антивирь, который юзает дырки! для обнаружения вирей
     
  • 1.8, drioptr (ok), 02:02, 21/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    прошу заметить, что для реализации эксплойта, код должен выполняться с привилегиями суперпользователя.
     
     
  • 2.17, PavelR (??), 08:37, 21/03/2009 [^] [ответить]    [к модератору]  
  • +/

    Берем хост, ставим ксен, отдаем domU виртуалку некоторому "клиенту".
    Привилегий суперпользователя в domU - достаточно для эксплойта машины ?
     
  • 1.9, Аноним (-), 02:04, 21/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Надеюсь Conficker/Downadup использует эту технологию?
     
     
  • 2.19, Frank (??), 13:12, 21/03/2009 [^] [ответить]    [к модератору]  
  • +/
    >Надеюсь Conficker/Downadup использует эту технологию?

    Ждём новых билдов! :))

     
     
  • 3.20, GoodWin (??), 14:58, 21/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Мелковато для подобной уязвимости, чересчур уж легко вылавливается Хотя в том... весь текст скрыт [показать]
     
     
  • 4.21, Neandertalets (?), 15:19, 21/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Отказались ещё в СССР - был там некий перец, который в конце 70х решил, что лучш... весь текст скрыт [показать]
     
     
  • 5.54, User294 (??), 17:41, 23/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Вы уж простите, но сравнивая советские микросхемы и микросхемы такой же давности... весь текст скрыт [показать]
     
     
  • 6.61, Neandertalets (?), 10:12, 24/03/2009 [^] [ответить]     [к модератору]  
  • +/
    О да А неплановая кап экономика, значит, хороша, где стоимость превозносится на... весь текст скрыт [показать]
     
  • 1.23, httpemdrone.livejournal.com194636.html (?), 16:59, 21/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Теперь я понимаю, почему в МО РФ компы с процессорами интел не подключены к инету, а подключены только компы от МЦСТ.
     
     
  • 2.26, Роман (??), 18:42, 21/03/2009 [^] [ответить]     [к модератору]  
  • +/
    А зачем в МО вообще компы подключать к интернету 1 компьютер в виде визитной к... весь текст скрыт [показать]
     
  • 2.27, Nick (??), 18:46, 21/03/2009 [^] [ответить]     [к модератору]  
  • +/
    да уж становится очевидной необходимость развития отечественной отрасли процо... весь текст скрыт [показать]
     
     
  • 3.42, ture (?), 13:34, 22/03/2009 [^] [ответить]    [к модератору]  
  • +/
    Задавят америкосы... поедешь жить и молодую травку щипать в америкосию. Не все ли равно тебе да мне на предприятии что есть дырки, пока они не мешают работе.
     
  • 1.24, Аноним (-), 17:55, 21/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Ну errata всю жизнь были, вопрос в другом, обновят микрокод процов и как скоро ждать свежих биосов матерей закрывающих уязвимость?
     
  • 1.28, Max (??), 19:01, 21/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Это получаеться, хакер владеющий руткитом может взломать Amazon EC2 ?
     
     
  • 2.29, logan (??), 21:54, 21/03/2009 [^] [ответить]    [к модератору]  
  • +/
    >Это получаеться, хакер владеющий руткитом может взломать Amazon EC2 ?

    А вы уверены, что там Intel? :)
    Ведь может быть и SPARC. Или Power

     
     
  • 3.38, guest (??), 10:22, 22/03/2009 [^] [ответить]    [к модератору]  
  • +/
    А вы уверены, что в SPARC или Power нет ничего подобного?
     
     
  • 4.41, FractalizeR (??), 13:21, 22/03/2009 [^] [ответить]    [к модератору]  
  • +/
    И куда ведет ваше высказывание? Вы имеете ввиду, что ошибки есть везде и взломать можно все? Излагаете прописные истины?
     
     
  • 5.50, guest (??), 07:31, 23/03/2009 [^] [ответить]     [к модератору]  
  • +/
    Нет я веду на исследования типа http www uinc ru news sn9884 html Где говорит... весь текст скрыт [показать]
     
  • 1.32, Аноним (-), 23:27, 21/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Утекло таки в паблик
     
  • 1.37, Аноним (-), 07:13, 22/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    _http://lenta.ru/news/2008/07/15/kris
     
     
  • 2.48, alexmest (ok), 00:08, 23/03/2009 [^] [ответить]    [к модератору]  
  • +/
    Только вот что то ни кто не говорит о том, что выполнялось на машинах серии DQ
    у которых есть функция удаленного администрирования. Да и закончиться все это
    заплаткой в BIOS. Может я что не так?
     
  • 1.49, Аноним (-), 06:50, 23/03/2009 [ответить] [показать ветку] [···]     [к модератору]  
  • +/
    Если можно сдампить SMRAM, то можно и вирус там найти, а излечение простое - вык... весь текст скрыт [показать]
     
  • 1.51, sluge (??), 09:37, 23/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Тоже мне-буря в стакане.
    Крис Касперски в месяц по 2-3 таких уязвимости публикует, и ниче-никто не паникует
     
  • 1.55, ABC (??), 17:45, 23/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    >Известная польская исследовательница в области компьютерной безопасности
    > Жанна Рутковская (Joanna Rutkowska)

    Её зовут Ёанна, а не Жанна.

     
     
  • 2.56, Sem (??), 20:26, 23/03/2009 [^] [ответить]    [к модератору]  
  • +/
    >>Известная польская исследовательница в области компьютерной безопасности
    >> Жанна Рутковская (Joanna Rutkowska)
    >
    >Её зовут Ёанна, а не Жанна.

    И не Рутковская, а Рутковска тогда уж. Вольные фантазии переводчика.

     
     
  • 3.57, Nick (??), 20:29, 23/03/2009 [^] [ответить]    [к модератору]  
  • +/
    >>>Известная польская исследовательница в области компьютерной безопасности
    >>> Жанна Рутковская (Joanna Rutkowska)
    >>
    >>Её зовут Ёанна, а не Жанна.
    >
    >И не Рутковская, а Рутковска тогда уж.

    а ведь точно :)

    >Вольные фантазии переводчика.

     
  • 1.58, GB03Db (?), 21:35, 23/03/2009 [ответить] [показать ветку] [···]    [к модератору]  
  • +/
    Польское имя Жанны, записанное латиницей, многие переводчики переводят буквально — "Джоанна" (Joanna), забыв о том, что существует специальные правила транслитерации (и даже ГОСТ!), которые никто не отменял. Смотрели фильм "Joanna d'Arc"? Нет?! Значит, вы определенно не поляк, поскольку в американский прокат фильм вышел под названием "The Messenger: The Story of Joan of Arc", в то время как на французском имя главной героини записывается как "Jeanne d'Arc", то есть Joanna — эта Жанна, записанная на польский манер. И никакая она не "Джоана". Эх, из чего же только не делают переводчиков ;(

    Крис Касперски (с)

     
     
  • 2.59, ABC (??), 23:30, 23/03/2009 [^] [ответить]    [к модератору]  
  • +/
    >Польское имя Жанны, записанное латиницей, многие переводчики переводят буквально —
    >"Джоанна" (Joanna), забыв о том, что существует специальные правила транслитерации (и даже

    И Джоанна и Жанна - одинаково ошибочны, её имя - Ёанна или Йоанна. Тот факт, што оно имеет общие корни с именем Жанна ничего не меняет.

     
     
  • 3.62, Armanx64 (?), 12:53, 18/04/2009 [^] [ответить]    [к модератору]  
  • +/
    Что там IBM и AMD так подсуетились? А факт того, что Intel обладает всеми правами на архитектуру x86? Видно, забыли, что сами нелегально используют эту архитектуру. А дыра не такая уж и страшная, но для linux, где ПО  очень сильно привязано к железу, это страшная дыра.
     
     
  • 4.63, Fomalhaut (?), 14:50, 18/04/2009 [^] [ответить]    [к модератору]  
  • +/
    >Что там IBM и AMD так подсуетились? А факт того, что Intel
    >обладает всеми правами на архитектуру x86? Видно, забыли, что сами нелегально
    >используют эту архитектуру.

    О да: они незаконно поучили лицензию. :)
    > А дыра не такая уж и страшная, но для linux, где ПО очень сильно привязано
    > к железу, это страшная дыра.

    Молодой человек, вас к компьютерам подпускать категорически запретил лечащий врач.
    Небось винда - ни грамма не привязанная к железу? И переносится без единых проблем с с одного компа на любой другой? И уж совсем ей пофиг, если платформы будут разных производителей? ;)
    Самое весёлое было наблюдать, как винда (ХРюша СП3), установленная на комп. выпала в БСОД и перестала работать на другом компе и точно такой же материнкой. Я уж думал, что хоть в пределах одной материнки переносима, а нет - тут всё плохо совершенно.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2018 by Maxim Chirkov  
    ДобавитьПоддержатьВебмастеруГИД  
    Hosting by Ihor