Güvenlik araştırmacıları, Apple Silicon işlemcileri üzerinde çalışan macOS sistemlerini hedef alan yeni bir saldırıyı ortaya çıkardı. “SysBumps” olarak adlandırılan bu saldırı, çekirdek izolasyonunu atlamak ve kritik bir güvenlik özelliği olan Çekirdek Adres Alanı Düzeni Rastgeleleştirmesini (KASLR) kırmak için sistem çağrılarındaki spekülatif yürütme güvenlik açıklarından yararlanıyor.
Hyerean Jang, Taehun Kim ve Youngjoo Shin liderliğindeki Kore Üniversitesi araştırma ekibi, bulgularını “SysBumps: Apple Silicon için macOS’ta KASLR’yi Kırmak için Sistem Çağrılarında Spekülatif Yürütmeden Yararlanmak” başlıklı bir makalede sundu.
Çalışmaları, Apple’ın özel ARM tabanlı çipleriyle desteklenen macOS sistemlerine yönelik ilk başarılı KASLR kırma saldırısını temsil ediyor.
KASLR, çekirdeğin bellek düzenini rastgele hale getirerek saldırganların belirli işlevlerin veya veri yapılarının konumunu tahmin etmesini zorlaştıran bir savunma mekanizmasıdır.
Kötü niyetli aktörler, KASLR’ı kırarak diğer güvenlik açıklarından daha kolay yararlanarak sistem güvenliğini tehlikeye atabilir.
SysBumps saldırısı
SysBumps saldırısı, modern işlemcilerde kullanılan bir performans optimizasyon tekniği olan spekülatif yürütmeden yararlanır.
Araştırmacılar, belirli macOS sistem çağrılarındaki Spectre türü güvenlik açıklarından yararlanarak, ayrıcalığı olmayan bir saldırganın, çekirdek izolasyonu etkin olsa bile, çekirdek adreslerine geçici bellek erişimlerine neden olabileceğini gösterdi.
Saldırının önemli bir bileşeni, çekirdeğin bellek düzeni hakkında bilgi çıkarmak için Çeviri Bakış Arabelleğinin (TLB) bir yan kanal olarak kullanılmasını içerir. Araştırma ekibi, çeşitli M serisi işlemcilerin TLB yapısına tersine mühendislik uygulayarak mimarisi hakkında daha önce bilinmeyen ayrıntıları ortaya çıkardı.
Saldırı, belirli bir çekirdek adresinin geçerli olup olmadığını belirleyebilecek ayırt edici bir kahin oluşturarak çalışır. Bu, saldırganların yavaş yavaş çekirdeğin bellek alanını haritalandırmasına ve sonuçta temel adresini belirlemesine olanak tanıyarak KASLR’ı etkili bir şekilde kırıyor.
SysBumps Nasıl Çalışır?
- Spekülatif İnfazdan Yararlanmak: Belirli macOS sistem çağrıları, kullanıcı tarafından sağlanan bağımsız değişkenler üzerinde doğrulama denetimleri gerçekleştirir. SysBumps, şube tahmincilerini kasıtlı olarak yanlış eğiterek geçersiz girdilerin spekülatif olarak yürütülmesine neden olur. Bu geçici yürütme, çekirdek adreslerine erişir ve adres geçerliyse TLB’de algılanabilir izler bırakır.
- TLB Yan Kanal Analizi: Saldırı, TLB durum değişikliklerini izlemek için prime+probe tekniğini kullanır. Saldırganlar, erişim gecikmesini ölçerek geçerli ve geçersiz çekirdek adreslerini ayırt edebilir.
- KASLR’ı kırmak: SysBumps, bu yöntemi kullanarak geçerli çekirdek adres bölgelerini tanımlar ve çekirdek temel adresini yüksek doğrulukla hesaplar. Testler, çeşitli Apple Silicon işlemcilerde ortalama %96’nın üzerinde başarı oranı gösterdi.
Araştırmacılar, yaptıkları deneylerde SysBumps saldırısını farklı M serisi işlemciler ve macOS sürümleri üzerinde başarıyla gösterdiler.
Saldırı, yaklaşık 3 saniyelik yürütme süreleri ile çekirdek temel adresini belirlemede ortalama %96,28’lik bir doğruluk elde etti.
SysBumps’ı özellikle endişe verici kılan şey, macOS’ta uygulanan mevcut çekirdek izolasyon tekniklerini atlama yeteneğidir. Bu, modern işletim sistemlerinin karmaşık yan kanal saldırılarına karşı güvenliğinin sağlanmasında devam eden zorlukların altını çiziyor.
SysBumps’ın keşfi, Apple’ın özel silikonunun güvenliği ve mevcut koruma mekanizmalarının etkinliği hakkında önemli soruları gündeme getiriyor.
Apple, ürün gamını ARM tabanlı işlemcilere geçirmeye devam ettikçe bu tür güvenlik açıklarının ele alınması giderek daha kritik hale geliyor.
Araştırmacılar bulgularını, sorunu kabul eden ve temel nedenini araştıran Apple’a sorumlu bir şekilde açıkladılar.
SysBumps saldırısını azaltmak için makale birkaç potansiyel karşı önlem önermektedir. Bunlar arasında veri TLB’sinin kullanıcı ve çekirdek alanı arasında bölümlenmesi, geçersiz adresler için TLB davranışının değiştirilmesi ve hassas talimatların spekülatif olarak yürütülmesini önlemek için kodun yeniden sıralama tekniklerinin kullanılması yer alır.
Teknoloji endüstrisi, spekülatif yürütme ve diğer mikro mimari optimizasyonların güvenlik sonuçlarıyla uğraşırken, bunun gibi araştırmalar, siber güvenlikte sürekli dikkat ve inovasyon ihtiyacını hatırlatıyor.
SysBumps saldırısı, performans optimizasyonlarının sıklıkla beklenmedik güvenlik açıklarına yol açabileceği modern bilgi işlem sistemlerinin güvenliğinin sağlanmasının karmaşıklığının altını çiziyor.
Apple ve diğer teknoloji devleri işlemci tasarımının sınırlarını zorlamaya devam ederken, performans ile güvenliği dengelemek halen devam eden bir zorluktur.
MacOS sistem kullanıcılarının, özellikle de Apple Silicon üzerinde çalışan kullanıcıların, sistemlerini en son güvenlik yamaları çıktıkça güncel tutmaları önerilir. Anında bir düzeltme mevcut olmasa da, Apple’ın gelecekteki yazılım güncellemelerinde bu güvenlik açığını gidermesi muhtemeldir.
ANY.RUN ile Gerçek Dünyadaki Kötü Amaçlı Bağlantıları, Kötü Amaçlı Yazılımları ve Kimlik Avı Saldırılarını Araştırın – Ücretsiz Deneyin